1. Cơ sở pháp lý để xử lý dữ liệu (Legal Basis)

Chúng tôi chỉ thu thập và xử lý dữ liệu cá nhân khi có ít nhất một trong các cơ sở pháp lý sau theo Điều 6 GDPR:

Sự đồng ý (Consent): bạn cho phép xử lý dữ liệu qua hành động chấp thuận rõ ràng (ví dụ: đăng ký tài khoản, chấp nhận cookie không thiết yếu nếu có triển khai, hoặc tích chọn nhận thông tin).
Thực hiện hợp đồng (Contract): xử lý cần thiết để cung cấp dịch vụ NCA Open theo yêu cầu của bạn (tạo khóa học, workspace, luyện thi, lưu tiến độ).
Nghĩa vụ pháp lý (Legal Obligation): xử lý cần thiết để tuân thủ luật pháp áp dụng (ví dụ: lưu giữ log theo yêu cầu cơ quan có thẩm quyền).
Lợi ích hợp pháp (Legitimate Interests): vận hành, bảo mật, phòng chống lạm dụng và cải thiện dịch vụ — khi lợi ích đó không xâm phạm quyền và tự do cơ bản của bạn; bạn có thể phản đối theo Mục 2.

2. Các quyền của bạn theo GDPR (Your Rights)

Nếu bạn là cư dân EU/EEA (hoặc nơi GDPR áp dụng), bạn có các quyền hợp pháp sau đối với dữ liệu cá nhân của mình:

Quyền được truy cập (Right to Access): yêu cầu bản sao dữ liệu cá nhân chúng tôi đang lưu trữ về bạn.
Quyền được sửa đổi (Right to Rectification): yêu cầu sửa thông tin không chính xác hoặc bổ sung thông tin còn thiếu.
Quyền được xóa / “Được lãng quên” (Right to Erasure): yêu cầu xóa dữ liệu cá nhân trong các điều kiện GDPR quy định.
Quyền hạn chế xử lý (Right to Restrict Processing): yêu cầu ngừng xử lý dữ liệu nhưng vẫn giữ lại dữ liệu đó.
Quyền phản đối (Right to Object): phản đối xử lý dựa trên lợi ích hợp pháp hoặc tiếp thị trực tiếp (nếu có).
Quyền chuyển đổi dữ liệu (Right to Data Portability): nhận dữ liệu bạn cung cấp ở định dạng có cấu trúc, phổ biến, máy đọc được, hoặc yêu cầu chuyển sang bên kiểm soát khác khi khả thi về kỹ thuật.
Quyền rút lại sự đồng ý: khi xử lý dựa trên consent, bạn có thể rút lại bất cứ lúc nào mà không ảnh hưởng tính hợp pháp của xử lý trước đó.
Quyền khiếu nại với cơ quan giám sát: bạn có thể gửi khiếu nại tới cơ quan bảo vệ dữ liệu tại quốc gia EU nơi bạn cư trú hoặc làm việc.

3. Chuyển dữ liệu quốc tế (International Data Transfers)

NCA Open vận hành hạ tầng tại Việt Nam. Dữ liệu cá nhân của bạn có thể được lưu trữ và xử lý tại Việt Nam hoặc qua các nhà cung cấp dịch vụ đặt ngoài EEA (ví dụ: Cloudflare cho CDN và bảo vệ website).

Khi chuyển dữ liệu ra ngoài EEA, chúng tôi áp dụng các biện pháp bảo vệ phù hợp theo GDPR, có thể bao gồm:

Các điều khoản hợp đồng tiêu chuẩn (Standard Contractual Clauses — SCCs) do Ủy ban Châu Âu phê duyệt, khi ký với bên xử lý dữ liệu.
Đánh giá tác động chuyển dữ liệu và biện pháp bổ sung khi cần thiết (mã hóa trong truyền tải, kiểm soát truy cập).
Chỉ chuyển dữ liệu tối thiểu cần thiết cho mục đích cung cấp dịch vụ.

4. Thời gian lưu trữ dữ liệu

Chúng tôi chỉ lưu trữ dữ liệu cá nhân trong thời gian cần thiết để thực hiện mục đích nêu trong Chính sách bảo mật, hoặc để tuân thủ nghĩa vụ pháp lý và giải quyết tranh chấp.

Dữ liệu tài khoản và khóa học: lưu cho đến khi bạn xóa tài khoản hoặc yêu cầu xóa, trừ khi pháp luật yêu cầu lưu lâu hơn.
Log kỹ thuật và bảo mật: thường lưu trong thời hạn hợp lý để điều tra sự cố (ví dụ vài tháng), trừ khi cần lưu lâu hơn cho mục đích pháp lý.
Cookie `locale` và phiên làm việc: theo thời hạn cookie hoặc đến khi bạn xóa/phiên hết hạn.
Khi dữ liệu không còn cần thiết, chúng tôi xóa hoặc ẩn danh hóa theo quy trình nội bộ.

5. Cách thực thi quyền của bạn

Để thực hiện bất kỳ quyền GDPR nào nêu trên, vui lòng gửi yêu cầu chính thức tới điểm liên hệ bảo vệ dữ liệu của NCA Open qua email [email protected]. Vui lòng mô tả rõ quyền bạn muốn thực hiện và thông tin giúp chúng tôi xác minh danh tính (ví dụ: email tài khoản đã đăng ký).

Thời gian phản hồi: chúng tôi sẽ phản hồi và xử lý yêu cầu hợp lệ trong vòng 30 ngày kể từ khi nhận đủ thông tin, miễn phí theo GDPR — trừ trường hợp yêu cầu lặp lại, vượt mức hợp lý hoặc rõ ràng là không có cơ sở, khi đó chúng tôi có thể tính phí hợp lý hoặc từ chối theo luật.

Nếu yêu cầu phức tạp hoặc số lượng lớn, thời hạn có thể được gia hạn thêm tối đa 60 ngày; chúng tôi sẽ thông báo lý do trong vòng 30 ngày đầu.

Bạn cũng có thể liên hệ qua số điện thoại và địa chỉ công bố tại trang Liên hệ. Chúng tôi có thể cập nhật Tuyên bố này khi thay đổi pháp lý hoặc thực hành xử lý dữ liệu; ngày cập nhật ghi ở đầu trang.