Chính sách bảo mật và bảo vệ dữ liệu cá nhân

1. Phạm vi và bên kiểm soát dữ liệu

1.1. Chính sách áp dụng cho các trang và dịch vụ của 200Lab: trang công khai 200lab.io, trang học learn.200lab.io, API api.200lab.io, máy chủ MCP mcp.200lab.io và email chúng tôi gửi cho bạn.

1.2. Bên kiểm soát và xử lý dữ liệu cá nhân của bạn là:

• Tên doanh nghiệp: Công ty TNHH công nghệ 200LAB
• Mã số thuế: 0317035178
• Văn phòng: 9A Phạm Văn Hai, P1, Tân Bình, TP.HCM
• Chi nhánh: 70 Huỳnh Văn Bánh, P15, Phú Nhuận, TP.HCM
• Kênh liên hệ: Fanpage 200Lab qua Messenger tại https://www.messenger.com/t/edu.200lab
• Email liên hệ về dữ liệu cá nhân: [email protected]
• Bộ phận phụ trách bảo vệ dữ liệu cá nhân: Ban điều hành 200Lab, liên hệ qua email [email protected]

1.3. Chính sách không áp dụng cho trang hoặc dịch vụ của bên khác mà bạn mở từ 200Lab, ví dụ YouTube, Google Meet, Zoom, Telegram, GitHub hay ngân hàng của bạn. Các bên đó có chính sách riêng.

2. Dữ liệu chúng tôi thu thập

Chúng tôi chỉ thu thập dữ liệu cần cho việc cung cấp dịch vụ. Dữ liệu được chia theo nhóm dưới đây.

2.1. Dữ liệu tài khoản

• Địa chỉ email và trạng thái đã xác minh email hay chưa.
• Mật khẩu. Chúng tôi chỉ lưu bản băm bằng bcrypt, không lưu và không đọc được mật khẩu gốc.
• Nếu bạn đăng nhập hoặc liên kết bằng GitHub: mã định danh tài khoản GitHub, tên đăng nhập GitHub và email GitHub mà GitHub trả về. Chúng tôi không lưu mã truy cập GitHub của bạn.
• Vai trò của tài khoản (học viên, tác giả, mentor, quản trị).

2.2. Dữ liệu hồ sơ

• Tên đăng nhập công khai (handle), tên hiển thị, ảnh đại diện, ảnh bìa, dòng giới thiệu ngắn, tiểu sử, website, các liên kết mạng xã hội và tên GitHub đã liên kết. Những trường này hiển thị trên trang hồ sơ công khai của bạn (xem mục 11).
• Thông tin liên hệ riêng tư: số điện thoại và tên người dùng Telegram. Hai trường này là tuỳ chọn, chỉ 200Lab nhìn thấy, không bao giờ hiển thị công khai. Chúng tôi dùng chúng để liên hệ khi bạn học lớp live.

2.3. Dữ liệu mua hàng và thanh toán

• Giỏ hàng, đơn hàng, sản phẩm và Offer bạn mua, giá, mã giảm giá hoặc mã giới thiệu đã áp dụng, trạng thái đơn và lịch sử hoàn tiền nếu có.
• Thông tin giao dịch chuyển khoản mà SePay chuyển cho chúng tôi để đối soát: số tiền, nội dung chuyển khoản, mã tham chiếu ngân hàng, ngân hàng và thời điểm giao dịch. Tuỳ ngân hàng, nội dung này có thể chứa tên người chuyển.
• Chúng tôi không thu thập, không lưu và không xử lý số thẻ, mã CVV/CVC, ngày hết hạn thẻ hay bất kỳ dữ liệu thẻ thanh toán nào. 200Lab hiện chỉ nhận chuyển khoản ngân hàng qua mã VietQR.

2.4. Dữ liệu học tập

• Quyền truy cập của bạn vào khoá học, lộ trình, bài viết và tài liệu, kèm thời hạn truy cập.
• Tiến độ học (bài đã mở, đã hoàn thành), kết quả làm quiz, bài nộp (nội dung văn bản và một đường dẫn GitHub nếu bài yêu cầu) và nhận xét của mentor.
• Certificate đã cấp, số serial và lựa chọn công khai hay riêng tư của bạn.
• Đánh giá khoá học bạn viết (số sao và nhận xét).
• Lịch sử tải tài liệu (artifact).

2.5. Dữ liệu kỹ thuật, cookie và thiết bị

• Địa chỉ IP, chuỗi user agent, loại thiết bị, hệ điều hành, trình duyệt và quốc gia suy ra từ IP, gắn với mỗi phiên đăng nhập.
• Một mã nhận diện thiết bị do thư viện FingerprintJS (bản mã nguồn mở, chạy ngay trên trình duyệt của bạn) tạo ra. Mã này chỉ dùng để gắn phiên đăng nhập với thiết bị và phát hiện phiên bị đánh cắp, không dùng cho quảng cáo.
• Nhật ký sự kiện bảo mật: đăng nhập, đăng xuất, làm mới phiên, phiên bị thay thế.
• Cookie và bộ nhớ trình duyệt, mô tả ở mục 10.
• Dữ liệu đo lường từ Google Analytics và Meta Pixel, mô tả ở mục 10.

2.6. Dữ liệu liên hệ cho lớp live

• Số điện thoại và tên Telegram nêu ở mục 2.2, nếu bạn cung cấp.
• Khi bạn bấm "Mở Telegram" trong trang khoá học, chúng tôi tạo một link mời dùng một lần vào nhóm Telegram của lớp. Khi bạn tham gia nhóm, Telegram và các thành viên khác trong nhóm sẽ thấy tài khoản Telegram của bạn theo cài đặt riêng tư của Telegram.
• Nếu lớp học qua Google Meet hoặc Zoom, nền tảng đó xử lý tên, hình ảnh và giọng nói của bạn khi bạn tham gia buổi học. Buổi học có thể được ghi hình để làm bản recording cho học viên của lớp (xem Điều khoản sử dụng).

2.7. Dữ liệu chương trình giới thiệu (affiliate)

• Yêu cầu tham gia, mã giới thiệu, đơn hàng được ghi nhận cho mã của bạn, hoa hồng và các lần chi trả.
• Thông tin nhận tiền: tên ngân hàng, tên chủ tài khoản và số tài khoản. Số tài khoản được mã hoá khi lưu (AES-GCM); chỉ bộ phận chi trả của 200Lab mở được khi chuyển khoản. Tên ngân hàng, tên chủ tài khoản và bốn số cuối được lưu ở dạng thường để bạn và chúng tôi nhận ra tài khoản.
• Mã số thuế cá nhân của bạn (theo quy định thuế hiện hành là số định danh cá nhân 12 số, hoặc mã số thuế 10 số đã được cấp trước đó), để 200Lab khấu trừ và kê khai thuế thu nhập cá nhân cho khoản hoa hồng.

2.8. Dữ liệu bạn gửi khi liên hệ hỗ trợ

Khi bạn nhắn cho Fanpage 200Lab qua Messenger, chúng tôi nhận nội dung tin nhắn và thông tin tài khoản Facebook mà Meta cho phép trang nhìn thấy.

3. Mục đích và cơ sở xử lý

Chúng tôi không bán dữ liệu cá nhân của bạn. Chúng tôi không dùng dữ liệu cá nhân của bạn để huấn luyện mô hình AI. Chúng tôi chỉ gửi email giao dịch và thông báo dịch vụ (xác minh email, biên lai, quyền truy cập, lịch lớp, thay đổi điều khoản). Nếu sau này 200Lab có bản tin, chúng tôi hỏi ý bạn trước và bạn huỷ đăng ký được bất cứ lúc nào.

Dữ liệu tài chính (như số tài khoản ngân hàng trong nhóm 2.7) là dữ liệu cá nhân nhạy cảm theo luật. Chúng tôi chỉ xử lý dữ liệu này khi bạn tự nhập để nhận hoa hồng, và chỉ cho việc chi trả.

4. Chia sẻ dữ liệu với bên thứ ba

Chúng tôi chỉ chia sẻ phần dữ liệu cần thiết cho từng việc. Một số bên xử lý dữ liệu ở ngoài Việt Nam, nghĩa là có chuyển dữ liệu ra nước ngoài.

Về việc chuyển dữ liệu ra nước ngoài, chúng tôi lập và lưu hồ sơ đánh giá tác động theo quy định của pháp luật Việt Nam.

Mục "Ứng dụng bạn tự cấp quyền": 200Lab cho phép bạn cấp quyền cho một ứng dụng bên ngoài (ví dụ một AI agent dùng giao thức MCP) truy cập tài khoản học viên của bạn. Mỗi lần cấp quyền, bạn thấy màn hình "Cấp quyền truy cập" và có thể từ chối. Khi bạn cho phép, ứng dụng đó nhận dữ liệu theo phạm vi đã hiển thị và tự chịu trách nhiệm về cách nó xử lý dữ liệu ấy.

5. Lưu trữ và thời hạn

Khi thời hạn hết, dữ liệu được xoá hoặc ẩn danh theo các tác vụ dọn dẹp tự động.

6. Bảo mật

• Mật khẩu được băm bằng bcrypt; mã làm mới phiên chỉ lưu dưới dạng băm SHA-256.
• Số tài khoản ngân hàng của affiliate được mã hoá AES-GCM khi lưu. Khoá mã hoá được giữ tách khỏi cơ sở dữ liệu.
• Mỗi tài khoản chỉ có một phiên đăng nhập hoạt động. Khi bạn đăng nhập ở nơi khác, phiên cũ bị đăng xuất ngay. Bạn có thể xem và thu hồi phiên, hoặc đăng xuất khỏi mọi nơi.
• Phiên được gắn với thiết bị; cookie phiên là httpOnly, chỉ gửi qua HTTPS và có bảo vệ CSRF.
• Mọi kết nối dùng HTTPS. Việc cấp quyền học chỉ diễn ra sau khi giao dịch chuyển khoản được xác thực, không dựa vào thông tin trình duyệt gửi lên.
• Cơ sở dữ liệu được sao lưu mỗi ngày lên kho lưu trữ riêng, giữ 30 ngày.
• Chỉ nhân sự cần cho công việc mới được truy cập dữ liệu, và các thao tác quản trị làm thay đổi dữ liệu đều được ghi nhật ký.

Không hệ thống nào an toàn tuyệt đối. Khi xảy ra sự cố lộ lọt dữ liệu, chúng tôi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong vòng 72 giờ kể từ khi phát hiện và thông báo cho bạn khi sự cố ảnh hưởng tới bạn, theo quy định.

7. Quyền của bạn

Theo Luật Bảo vệ dữ liệu cá nhân, bạn có các quyền sau:

1. Được biết: biết dữ liệu nào của bạn được xử lý, vì sao và bởi ai. Chính sách này là cách chúng tôi thực hiện quyền đó.
2. Đồng ý hoặc không đồng ý với việc xử lý dữ liệu.
3. Truy cập: xem và nhận bản sao dữ liệu của bạn.
4. Chỉnh sửa: sửa dữ liệu sai hoặc cũ.
5. Xoá: yêu cầu xoá dữ liệu của bạn.
6. Rút lại sự đồng ý.
7. Hạn chế xử lý và phản đối xử lý dữ liệu.
8. Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định của pháp luật.

Việc rút lại đồng ý không làm mất hiệu lực của việc xử lý đã diễn ra trước đó. Một số quyền có giới hạn theo luật, ví dụ chúng tôi vẫn phải giữ chứng từ thanh toán cho mục đích kế toán và thuế.

8. Cách thực hiện quyền của bạn

• Xem và sửa hồ sơ, số điện thoại, tên Telegram: trang hồ sơ trong learn.200lab.io.
• Xem và thu hồi phiên đăng nhập, liên kết hoặc gỡ GitHub: trang tài khoản trong learn.200lab.io.
• Ẩn certificate khỏi trang xác thực công khai: trang certificate trong learn.200lab.io.
• Xem đơn hàng và hoa hồng: trang đơn hàng và trang Giới thiệu trong learn.200lab.io.
• Xoá tài khoản, xin bản sao dữ liệu, rút đồng ý, phản đối xử lý: gửi email tới [email protected] hoặc nhắn cho Fanpage 200Lab qua Messenger. Hiện chưa có nút tự xoá tài khoản; bạn gửi yêu cầu qua email [email protected] hoặc Messenger và chúng tôi thực hiện theo thời hạn ở đoạn dưới.

Để bảo vệ bạn, chúng tôi có thể xác minh bạn là chủ tài khoản trước khi thực hiện, ví dụ bằng cách gửi email tới địa chỉ đăng ký. Chúng tôi phản hồi yêu cầu trong 02 ngày làm việc. Yêu cầu truy cập hoặc chỉnh sửa được hoàn thành trong 10 ngày; yêu cầu xoá được hoàn thành trong 20 ngày; nếu cần bên xử lý khác cùng xoá thì trong 30 ngày.

Khi xoá tài khoản, chúng tôi đóng mọi phiên, xoá mật khẩu và liên kết GitHub, xoá hồ sơ (tên, ảnh, tiểu sử, liên kết, số điện thoại, tên Telegram), giải phóng handle và thay email bằng một địa chỉ vô danh. Đánh giá bạn đã viết sẽ hiển thị không kèm tên. Chứng từ đơn hàng và thanh toán được giữ ở dạng không còn gắn với danh tính của bạn trong thời hạn luật yêu cầu. Sau khi xoá, bạn mất quyền truy cập các khoá học đã mua và không thể khôi phục.

9. Trẻ em và độ tuổi

Dịch vụ của 200Lab dành cho người từ 16 tuổi trở lên. Nếu bạn dưới độ tuổi này, cha mẹ hoặc người giám hộ cần đồng ý và đứng tên thực hiện các quyền về dữ liệu thay bạn. Nếu phát hiện chúng tôi đã thu thập dữ liệu của trẻ em mà không có sự đồng ý phù hợp, hãy nhắn cho chúng tôi để xoá.

10. Cookie và bộ nhớ trình duyệt

Cookie cần thiết (không thể tắt nếu muốn đăng nhập):

• refresh_token: giữ phiên đăng nhập, httpOnly, 14 ngày gia hạn khi bạn còn dùng.
• csrf_token: chống giả mạo yêu cầu.
• __Host-browser_ctx: gắn phiên với trình duyệt đang dùng.

Cookie chức năng:

• elearning_ref: ghi nhớ mã giới thiệu khi bạn mở link giới thiệu, trong thời hạn ghi nhận của chương trình (hiện là 30 ngày).
• elearning-consent: ghi nhớ lựa chọn của bạn trong hộp chọn cookie, dùng chung cho 200lab.io và learn.200lab.io, trong 12 tháng. Hết hạn, chúng tôi hỏi lại.

Bộ nhớ trình duyệt (localStorage và sessionStorage), chỉ nằm trên máy bạn:

• Giao diện sáng hoặc tối, giỏ hàng khi chưa đăng nhập, mã giảm giá đang nhập, trạng thái đơn đang thanh toán, lựa chọn tự phát bài tiếp theo.

Cookie đo lường và quảng cáo của bên thứ ba, bạn chọn riêng từng mục đích:

• Đo lường: Google Analytics 4 (cookie _ga, _ga_*) ghi nhận lượt xem trang, sự kiện học và mua, loại thiết bị và trình duyệt, vị trí ước lượng từ IP rút gọn. Bên nhận: Google. Mục đích: hiểu cách trang được dùng để cải thiện nội dung. Lưu tới 2 năm.
• Quảng cáo: Meta Pixel (cookie _fbp, _fbc) ghi nhận lượt xem trang và sự kiện mua hàng để đo hiệu quả quảng cáo của 200Lab trên Facebook và Instagram. Bên nhận: Meta. Lưu tới 3 tháng.
• Hai mục đích này tắt cho tới khi bạn chọn; chưa chọn thì không cookie nào trong số này được đặt. Trong hộp chọn cookie, bạn bật riêng "Đo lường" hoặc "Quảng cáo" rồi chọn "Lưu lựa chọn", hoặc chọn "Chấp nhận tất cả" hay "Từ chối tất cả".
• Bạn đổi lựa chọn bất cứ lúc nào qua "Cài đặt cookie" ở chân trang 200lab.io hoặc trên trang tài khoản trong learn.200lab.io. Khi bạn tắt một mục đích, cookie của mục đích đó bị xoá khỏi trình duyệt và công cụ tương ứng ngừng gửi dữ liệu.

Bạn có thể xoá hoặc chặn cookie trong cài đặt trình duyệt. Chặn cookie cần thiết sẽ khiến bạn không đăng nhập được.

11. Hồ sơ công khai, đánh giá và certificate

• Trang hồ sơ 200lab.io/@handle hiển thị các trường hồ sơ công khai ở mục 2.2. Số điện thoại, tên Telegram và email không bao giờ hiển thị ở đây.
• Đánh giá khoá học hiển thị công khai cùng handle và tên hiển thị của bạn.
• Certificate chỉ hiện trên trang xác thực công khai khi bạn bật. Trang này chỉ cho thấy tên đã đồng ý hiển thị và thông tin tối thiểu về khoá học, có thể tắt bất cứ lúc nào mà không xoá certificate. Trang xác thực không được đưa vào kết quả tìm kiếm.

12. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách khi dịch vụ hoặc quy định pháp luật thay đổi. Phiên bản mới được đăng tại trang này kèm ngày hiệu lực. Với thay đổi quan trọng, chúng tôi thông báo qua email hoặc trên trang học ít nhất 7 ngày trước khi áp dụng. Nếu thay đổi cần sự đồng ý mới, chúng tôi sẽ hỏi lại bạn.

13. Liên hệ

Mọi câu hỏi hoặc yêu cầu về dữ liệu cá nhân, hãy gửi email tới [email protected] hoặc nhắn cho Fanpage 200Lab qua Messenger: https://www.messenger.com/t/edu.200lab. Bạn cũng có thể gửi thư tới văn phòng Công ty TNHH công nghệ 200LAB tại 9A Phạm Văn Hai, P1, Tân Bình, TP.HCM.