Chính sách quyền riêng tư

1. Ai xử lý dữ liệu của bạn

Mosra được vận hành bởi {{LEGAL_NAME}}, địa chỉ {{BUSINESS_ADDRESS}}. Trong tài liệu này, "chúng tôi" là đơn vị đó.

Mọi câu hỏi hoặc yêu cầu liên quan tới dữ liệu cá nhân, gửi về {{PRIVACY_EMAIL}}. Đây là đầu mối duy nhất cho các yêu cầu theo mục 10.

Chính sách này áp dụng cho ứng dụng Mosra, trang mosra.app và ứng dụng máy tính.

2. Vai trò của mỗi bên

Với dữ liệu tài khoản của bạn — email, tên, nội dung bạn tạo, lịch sử thanh toán — chúng tôi là bên kiểm soát dữ liệu.

Với dữ liệu học sinh phát sinh khi bạn dạy học bằng Mosra — kết quả bài kiểm tra, câu trả lời, biệt danh trong phiên chơi — bạn hoặc nhà trường là bên kiểm soát, còn chúng tôi là bên xử lý và hành động theo chỉ thị của bạn. Điều kiện chi tiết nằm ở Phụ lục xử lý dữ liệu (DPA).

Nếu tổ chức của bạn tự cài đặt Mosra trên hạ tầng riêng (bản on-premise), dữ liệu nằm trên máy chủ của tổ chức và tổ chức đó là bên kiểm soát lẫn nơi lưu trữ. Danh sách nhà cung cấp ở mục 6 chỉ áp dụng cho bản đám mây do chúng tôi vận hành.

3. Dữ liệu chúng tôi thu thập

Chúng tôi chỉ thu thập dữ liệu cần cho việc vận hành Dịch vụ. Bảng dưới đây liệt kê đầy đủ theo từng nhóm.

Chúng tôi không cố ý thu thập dữ liệu cá nhân nhạy cảm (sức khỏe, sinh trắc học, quan điểm chính trị, tôn giáo…). Đừng đưa những dữ liệu đó vào nội dung bài giảng hay câu hỏi.

4. Mục đích và căn cứ pháp lý

Chúng tôi không dùng dữ liệu của bạn để quảng cáo nhắm mục tiêu, không lập hồ sơ tự động ảnh hưởng tới quyền lợi của bạn, và không bán dữ liệu cá nhân cho bất kỳ ai.

5. Dữ liệu và tính năng AI

Khi bạn dùng một tính năng AI, yêu cầu của bạn cùng phần nội dung cần thiết để tạo kết quả được gửi tới nhà cung cấp mô hình bên thứ ba. Nhà cung cấp mặc định hiện nay là Google (Gemini) — danh sách cập nhật ở trang Nhà cung cấp dịch vụ.

Nội dung này được gửi ra ngoài lãnh thổ Việt Nam. Xem mục 7.

Chúng tôi lưu lịch sử hội thoại với trợ lý AI để bạn xem lại và để trợ lý hiểu ngữ cảnh. Bạn có thể xóa hội thoại bất cứ lúc nào.

Nhật ký sử dụng AI (nhà cung cấp, số token, chi phí) chỉ chứa số liệu, không chứa nội dung yêu cầu của bạn.

Chúng tôi không dùng nội dung của bạn để huấn luyện mô hình, của chúng tôi hay của bên thứ ba.

6. Chúng tôi chia sẻ với ai

Chúng tôi chia sẻ dữ liệu với các nhà cung cấp dịch vụ cần thiết để vận hành Mosra — lưu trữ tệp, gửi email, thanh toán, mô hình AI, thông báo đẩy. Họ chỉ được xử lý dữ liệu theo chỉ thị của chúng tôi.

Danh sách đầy đủ, kèm mục đích và nơi xử lý, nằm ở trang Nhà cung cấp dịch vụ. Chúng tôi cập nhật trang đó khi thay đổi nhà cung cấp.

Những trường hợp khác

• Khi bạn chủ động chia sẻ: người bạn mời vào lớp, người bạn gửi link trình chiếu, thành viên trong giấy phép nhóm.
• Khi pháp luật yêu cầu: theo yêu cầu hợp lệ của cơ quan nhà nước có thẩm quyền. Chúng tôi rà soát từng yêu cầu và chỉ cung cấp phần tối thiểu.
• Khi chuyển giao doanh nghiệp: nếu Dịch vụ được chuyển nhượng, chúng tôi sẽ báo trước và bên nhận phải tiếp tục tuân thủ chính sách này.

Chúng tôi không bán, không trao đổi và không cho thuê dữ liệu cá nhân.

7. Chuyển dữ liệu ra nước ngoài

Một số nhà cung cấp của chúng tôi đặt hạ tầng ngoài Việt Nam: lưu trữ tệp, gửi email, thanh toán quốc tế, thông báo đẩy và mô hình AI. Vì vậy dữ liệu của bạn có thể được lưu trữ hoặc xử lý ở nước ngoài.

Với mỗi nhà cung cấp, chúng tôi ký hợp đồng xử lý dữ liệu, áp dụng điều khoản hợp đồng tiêu chuẩn khi cần, và thực hiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo quy định của pháp luật Việt Nam.

Nếu bạn cần dữ liệu ở lại trong nước hoàn toàn, bản cài đặt trên hạ tầng riêng (on-premise) là phương án phù hợp. Liên hệ chúng tôi để trao đổi.

8. Thời gian lưu trữ

Sau khi hết thời hạn, dữ liệu được xóa hoặc ẩn danh sao cho không còn xác định được cá nhân.

9. Bảo mật

• Toàn bộ kết nối tới Mosra dùng HTTPS; dữ liệu được mã hóa khi truyền.
• Mật khẩu được lưu dưới dạng băm, không lưu ở dạng đọc được.
• Truy cập vào hệ thống sản xuất giới hạn ở số ít người và có ghi nhật ký.
• Sao lưu định kỳ, có kiểm tra khôi phục.
• Giới hạn tần suất truy cập để chống dò mật khẩu và lạm dụng.

Không hệ thống nào an toàn tuyệt đối. Hãy dùng mật khẩu riêng cho Mosra và không chia sẻ tài khoản.

10. Quyền của bạn

Theo pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, bạn có các quyền sau. Chúng tôi trả lời trong thời hạn ghi ở cột bên phải, tính từ khi xác minh được danh tính của bạn.

Gửi yêu cầu về {{PRIVACY_EMAIL}}. Chúng tôi có thể cần xác minh danh tính trước khi thực hiện — đây là bước bảo vệ bạn khỏi việc người khác mạo danh để lấy hoặc xóa dữ liệu.

Một số dữ liệu chúng tôi phải giữ lại dù bạn yêu cầu xóa, ví dụ hóa đơn theo quy định kế toán. Trong trường hợp đó chúng tôi nói rõ giữ lại phần nào và vì sao.

Nếu bạn là học sinh và muốn xóa kết quả học tập, hãy liên hệ giáo viên hoặc nhà trường trước — họ là bên kiểm soát dữ liệu đó. Chúng tôi sẽ chuyển tiếp yêu cầu nếu bạn gửi nhầm cho chúng tôi.

11. Bổ sung cho người dùng ở EU, EEA và Anh

Nếu bạn ở Liên minh châu Âu, khu vực kinh tế châu Âu hoặc Vương quốc Anh, GDPR và UK GDPR áp dụng thêm cho bạn.

• Căn cứ pháp lý cho từng mục đích được nêu ở mục 4.
• Bạn có quyền mang dữ liệu đi ở định dạng máy đọc được — dùng chức năng tải dữ liệu trong cài đặt tài khoản.
• Bạn có quyền phản đối việc xử lý dựa trên lợi ích hợp pháp.
• Thời hạn trả lời theo GDPR là một tháng. Các thời hạn ở mục 10 ngắn hơn, và chúng tôi áp dụng thời hạn ngắn hơn cho mọi người dùng.
• Chuyển dữ liệu ra ngoài EEA dựa trên điều khoản hợp đồng tiêu chuẩn của Ủy ban châu Âu, hoặc cơ chế tương đương của nhà cung cấp.
• Bạn có quyền khiếu nại tới cơ quan bảo vệ dữ liệu tại nơi bạn cư trú.

12. Trẻ em và học sinh

Tài khoản Mosra dành cho người từ 16 tuổi trở lên. Chúng tôi không cố ý thu thập dữ liệu để tạo tài khoản cho người dưới 16 tuổi.

Học sinh dưới 16 tuổi có thể tham gia phiên chơi hoặc bài kiểm tra do giáo viên tổ chức mà không cần tài khoản. Trong trường hợp đó, giáo viên hoặc nhà trường là bên kiểm soát dữ liệu và chịu trách nhiệm xin phép phụ huynh hoặc người giám hộ khi pháp luật yêu cầu.

Chúng tôi khuyến nghị hướng dẫn học sinh dùng biệt danh thay vì tên thật.

Nếu bạn là phụ huynh và cho rằng con mình đã tạo tài khoản, hãy liên hệ {{PRIVACY_EMAIL}} — chúng tôi sẽ xóa tài khoản đó.

Trang dành cho giáo viên và phụ huynh giải thích chi tiết hơn về dữ liệu học sinh.

13. Người tham gia không có tài khoản

Khi bạn tham gia một phiên chơi hoặc xem một bản trình chiếu được chia sẻ mà không đăng nhập, chúng tôi vẫn ghi lại một số dữ liệu: biệt danh bạn nhập, điểm số, số slide đã xem và thời lượng.

Dữ liệu này được hiển thị cho người tổ chức phiên đó, và bị xóa sau 12 tháng.

Chúng tôi không tạo hồ sơ theo dõi bạn giữa các phiên khác nhau.

14. Cookie và lưu trữ trên trình duyệt

Chúng tôi chỉ dùng cookie và bộ nhớ trình duyệt ở mức thiết yếu: giữ bạn đăng nhập, nhớ ngôn ngữ và một vài tùy chọn giao diện.

Hiện tại chúng tôi không dùng công cụ phân tích, không dùng pixel quảng cáo và không có cookie theo dõi của bên thứ ba. Nếu điều đó thay đổi, chúng tôi sẽ hỏi ý kiến bạn trước.

Chi tiết ở trang Cookie.

15. Sự cố dữ liệu

Nếu xảy ra sự cố làm lộ dữ liệu cá nhân, chúng tôi thông báo cho cơ quan nhà nước có thẩm quyền trong vòng 72 giờ kể từ khi phát hiện, theo quy định của pháp luật Việt Nam.

Chúng tôi thông báo trực tiếp cho bạn khi sự cố có khả năng gây rủi ro cao cho quyền và lợi ích của bạn, kèm mô tả chuyện gì đã xảy ra và bạn nên làm gì.

Nếu bạn phát hiện lỗ hổng bảo mật, hãy báo cho {{SUPPORT_EMAIL}}. Chúng tôi không truy cứu người báo lỗi có thiện chí.

16. Thay đổi chính sách

Chúng tôi cập nhật chính sách này khi cách xử lý dữ liệu thay đổi. Phiên bản và ngày hiệu lực hiển thị ở đầu trang.

Với thay đổi đáng kể — thêm mục đích xử lý mới, thêm nhà cung cấp ở nước ngoài — chúng tôi báo trước qua email hoặc thông báo trong ứng dụng, và xin lại sự đồng ý khi cần.

17. Liên hệ

Bạn cũng có quyền khiếu nại tới cơ quan nhà nước có thẩm quyền về bảo vệ dữ liệu cá nhân nếu cho rằng chúng tôi xử lý dữ liệu không đúng quy định.