Chính sách quyền riêng tư

1. Dữ liệu chúng tôi thu thập

• Khi đăng nhập bằng Google: email, họ tên, ảnh đại diện — do Google cung cấp, chúng tôi không lưu và không nhìn thấy mật khẩu Google của bạn.
• Trong quá trình sử dụng: tiến trình học từng bài (đã xem tới đâu, đã hoàn thành bài nào), lịch sử đơn hàng và trạng thái thanh toán, quyền truy cập khoá học đã mua, câu trả lời/thảo luận bạn gửi và nhận xét riêng của quản trị viên.
• Khi bạn yêu cầu xuất hoá đơn điện tử (không bắt buộc): bên mua là hộ kinh doanh hay doanh nghiệp, tên hộ kinh doanh/doanh nghiệp, mã số thuế, địa chỉ và email nhận hoá đơn. Với hộ kinh doanh, mã số thuế có thể chính là số định danh cá nhân (căn cước công dân) của chủ hộ.
• Khi dùng Trợ lý luyện viết Prompt: nội dung các prompt bạn tự viết, điểm và nhận xét theo tiêu chí chấm, số lần luyện và trạng thái hoàn thành. Quản trị viên hoặc người hướng dẫn có thể xem các lần luyện này để hỗ trợ bạn học tập.
• Nguồn giới thiệu (nếu bạn đến từ một liên kết có gắn tham sốrefhoặc bộ tham số utm_source,utm_medium,utm_campaign,utm_term vàutm_content), lưu 1 lần khi đăng nhập đầu tiên để chúng tôi hiểu kênh nào hiệu quả.
• Khi bạn sử dụng dịch vụ: lượt xem trang, mã nhận dạng cookie, địa chỉ IP, thông tin trình duyệt và các mốc đăng ký/thanh toán dùng để đo hiệu quả nội dung và quảng cáo.

2. Mục đích sử dụng dữ liệu

• Xác thực và duy trì phiên đăng nhập.
• Ghi nhận và xử lý đơn hàng, cấp quyền truy cập khoá học đã mua.
• Phát hành hoá đơn điện tử theo thông tin bạn cung cấp, khi bạn có yêu cầu.
• Hiển thị tiến trình học tập của chính bạn.
• Đánh giá Prompt theo tiêu chí chấm và so sánh tiến bộ giữa các lần viết lại.
• Thống kê nội bộ để cải thiện nội dung khoá học — chỉ đội ngũ quản trị (tài khoản quản trị viên) mới xem được số liệu tổng hợp.
• Chúng tôi không bán hoặc cho thuê dữ liệu cá nhân của bạn cho bên thứ ba vì mục đích quảng cáo.

3. Chia sẻ dữ liệu với bên thứ ba

Chúng tôi sử dụng các nhà cung cấp dịch vụ sau để vận hành nền tảng, mỗi bên chỉ nhận đúng dữ liệu cần thiết cho chức năng của họ:

• Google — xác thực đăng nhập (OAuth).
• Google Analytics — đo lường truy cập và chuyển đổi.
• Meta — Pixel/Conversions API để đo hiệu quả quảng cáo.
• Supabase — lưu trữ cơ sở dữ liệu và quản lý phiên đăng nhập.
• Resend — gửi email vận hành như chào mừng, xác nhận thanh toán và phản hồi.
• Telegram — gửi thông báo vận hành cho người quản lý khi có đăng ký, thanh toán hoặc câu hỏi mới.
• Anthropic — hỗ trợ quản trị viên soạn gợi ý nội dung/phản hồi và đánh giá prompt khi học viên chủ động dùng Trợ lý luyện viết Prompt. Chuỗi giống secret phổ biến được ẩn trước khi gửi, nhưng bạn vẫn không nên dán dữ liệu mật vào tính năng này.
• Đơn vị cung cấp dịch vụ hoá đơn điện tử và cơ quan thuế — nhận thông tin xuất hoá đơn khi chúng tôi phát hành hoá đơn điện tử cho bạn theo quy định pháp luật.
• SePay — xử lý xác nhận giao dịch chuyển khoản ngân hàng. Chúng tôi không lưu thông tin tài khoản ngân hàng của bạn — SePay chỉ báo lại cho hệ thống khi giao dịch đã nhận được tiền.

4. Bảo mật dữ liệu

Dữ liệu được lưu trong cơ sở dữ liệu có bật Row Level Security (RLS) — mỗi người dùng chỉ đọc được đúng dữ liệu của chính mình qua các quy tắc phân quyền ở tầng cơ sở dữ liệu. Các thao tác nhạy cảm (xác nhận thanh toán, cấp quyền truy cập khoá học) chỉ được thực hiện từ phía máy chủ, không cho phép ghi trực tiếp từ trình duyệt.

5. Quyền của bạn

• Xem/sửa họ tên và ảnh đại diện trong phần tài khoản.
• Yêu cầu xoá tài khoản và dữ liệu cá nhân liên quan — liên hệ info@xoamurevit.com, chúng tôi sẽ xử lý trong thời gian hợp lý, trừ dữ liệu cần giữ lại theo nghĩa vụ pháp lý (như lịch sử giao dịch thanh toán và hoá đơn đã phát hành).

6. Cookie

• Cookie phiên đăng nhập do Supabase Auth thiết lập, cần thiết để giữ bạn đăng nhập.
• Cookie tạm vb_attr lưu nguồn giới thiệu và các tham số UTM trong tối đa 30 ngày, tự xoá sau khi đã ghi nhận vào tài khoản ở lần đăng nhập đầu tiên.
• Meta (_fbp, _fbc) và Google Analytics (_ga) được dùng để đo lượt xem trang và hiệu quả đăng ký, thanh toán.

7. Đối tượng sử dụng

Dịch vụ không nhắm tới và không cố ý thu thập dữ liệu của trẻ em dưới 16 tuổi mà không có sự đồng ý của cha mẹ/người giám hộ.

8. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách này theo thời gian. Phiên bản mới nhất luôn được đăng tại trang này, ngày cập nhật ghi ở đầu trang.

9. Liên hệ

Mọi thắc mắc về quyền riêng tư, vui lòng liên hệ info@xoamurevit.com.