Chính sách bảo mật

1. Căn cứ pháp lý

Chính sách được xây dựng theo các văn bản sau:

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và các văn bản hướng dẫn thi hành.
Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, trong phạm vi còn hiệu lực.
Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15.

2. Phạm vi và vai trò xử lý dữ liệu

Với website eyesz.vn, EyesZ là bên kiểm soát và xử lý dữ liệu cá nhân của khách truy cập, khách hàng tiềm năng và ứng viên.

Với nền tảng iZe Edu, nhà trường hoặc trung tâm là bên kiểm soát dữ liệu của học sinh, phụ huynh và giáo viên; EyesZ là bên xử lý dữ liệu theo hợp đồng và chỉ xử lý theo chỉ dẫn của nhà trường.

3. Dữ liệu thu thập và mục đích

Thông tin liên hệ (họ tên, email, số điện thoại) để phản hồi yêu cầu tư vấn, dùng thử hoặc ứng tuyển.
Dữ liệu tài khoản iZe Edu để cung cấp dịch vụ: đăng nhập, phân quyền, nhật ký thao tác.
Dữ liệu học vụ, điểm danh, học phí, sức khỏe của học sinh do nhà trường nhập để vận hành trường.
Dữ liệu sinh trắc học khuôn mặt, chỉ khi nhà trường bật Face ID và có sự đồng ý của phụ huynh (và của trẻ từ đủ 7 tuổi).
Số liệu truy cập ẩn danh để cải thiện website, không định danh từng người.

EyesZ chỉ thu thập dữ liệu cần thiết cho mục đích đã nêu và không dùng dữ liệu cho mục đích khác khi chưa có sự đồng ý mới.

4. Dữ liệu trẻ em và dữ liệu sinh trắc học

Dữ liệu trẻ em và dữ liệu sinh trắc học là dữ liệu cá nhân nhạy cảm và được bảo vệ ở mức cao nhất:

Không đăng ký khuôn mặt khi chưa ghi nhận sự đồng ý của phụ huynh hoặc người giám hộ.
Mỗi học sinh chỉ lưu một ảnh tham chiếu và vector đặc trưng, đều được mã hóa theo từng trường.
Ảnh chụp lúc điểm danh tự động xóa sau 30 ngày.
Khi phụ huynh rút lại sự đồng ý, vector đặc trưng và ảnh tham chiếu được xóa trong vòng 72 giờ.
Mọi lượt truy cập dữ liệu nhạy cảm đều được ghi nhật ký kiểm toán.

5. Quyền của chủ thể dữ liệu

Anh/chị có các quyền sau đối với dữ liệu cá nhân của mình:

Quyền được biết về hoạt động xử lý dữ liệu cá nhân.
Quyền đồng ý hoặc không đồng ý, và quyền rút lại sự đồng ý bất cứ lúc nào.
Quyền truy cập và yêu cầu cung cấp bản sao dữ liệu.
Quyền chỉnh sửa dữ liệu không chính xác.
Quyền yêu cầu xóa dữ liệu hoặc hạn chế xử lý.
Quyền phản đối xử lý, khiếu nại và yêu cầu bồi thường theo quy định pháp luật.

Với dữ liệu trong iZe Edu, anh/chị có thể gửi yêu cầu tới nhà trường hoặc trực tiếp tới EyesZ; EyesZ sẽ phối hợp với nhà trường để xử lý. Yêu cầu rút lại sự đồng ý hoặc xóa dữ liệu được xử lý trong vòng 72 giờ kể từ khi xác minh được người yêu cầu.

6. Biện pháp bảo vệ kỹ thuật

Mã hóa phong bì (envelope encryption) AES-256-GCM cho dữ liệu nhạy cảm, khóa riêng cho từng trường.
Cô lập dữ liệu giữa các trường bằng PostgreSQL Row-Level Security (RLS); trường này không thể đọc dữ liệu của trường khác.
Kết nối được mã hóa TLS; mật khẩu băm bằng Argon2id.
Phân quyền theo vai trò và ghi nhật ký kiểm toán cho thao tác trên dữ liệu nhạy cảm.
Sao lưu hằng ngày và có quy trình khôi phục khi xảy ra sự cố.

7. Chia sẻ, lưu trữ và chuyển dữ liệu ra nước ngoài

EyesZ không bán, không cho thuê và không trao đổi dữ liệu cá nhân cho bên thứ ba vì mục đích quảng cáo.
Dữ liệu của nền tảng iZe Edu được lưu trữ tại trung tâm dữ liệu ở Việt Nam.
Website eyesz.vn (không chứa dữ liệu học sinh) được phân phối qua mạng máy chủ của nhà cung cấp hạ tầng quốc tế Vercel để tải trang nhanh hơn.
EyesZ không chuyển dữ liệu cá nhân nhạy cảm ra máy chủ ở nước ngoài khi chưa lập hồ sơ đánh giá tác động chuyển dữ liệu (DPIA) theo quy định.
Dữ liệu chỉ được cung cấp cho cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp.

8. Thời gian lưu trữ

Dữ liệu được lưu trong thời gian cần thiết cho mục đích xử lý hoặc theo hợp đồng với nhà trường. Khi hợp đồng kết thúc, nhà trường được xuất dữ liệu trước khi EyesZ xóa khỏi hệ thống theo thời hạn đã thỏa thuận, trừ dữ liệu pháp luật yêu cầu lưu giữ.

9. Liên hệ bộ phận bảo vệ dữ liệu

Mọi câu hỏi, yêu cầu thực hiện quyền hoặc thông báo sự cố liên quan đến dữ liệu cá nhân, anh/chị vui lòng gửi tới bộ phận bảo vệ dữ liệu (DPO) của EyesZ qua email contact@eyesz.vn. Người phụ trách: Nguyễn Việt Thành.