Chính sách bảo mật và dữ liệu cá nhân

Chính sách này giải thích cách One Babi (do One Babi Team vận hành) thu thập, sử dụng, bảo vệ dữ liệu khi Trường sử dụng Dịch vụ, phù hợp với pháp luật Việt Nam về bảo vệ dữ liệu cá nhân (bao gồm Nghị định 13/2023/NĐ-CP).

1. Vai trò của các bên

• Trường (nhà trẻ, nhóm trẻ, trường mầm non) là bên kiểm soát dữ liệu đối với thông tin trẻ em, phụ huynh và nhân viên mà Trường nhập vào Dịch vụ; Trường quyết định mục đích và cách sử dụng.
• One Babi đóng vai trò bên xử lý dữ liệu thay mặt Trường: lưu trữ và xử lý theo cách Trường sử dụng chức năng của phần mềm. Riêng dữ liệu tài khoản đăng ký (tên, email, số điện thoại của người quản trị Trường), chúng tôi là bên kiểm soát để vận hành Dịch vụ.

2. Dữ liệu được xử lý

• Tài khoản: họ tên, email, số điện thoại, mật khẩu (lưu dưới dạng băm, không lưu mật khẩu gốc), vai trò.
• Dữ liệu do Trường nhập: hồ sơ trẻ (họ tên, ngày sinh, giới tính, địa chỉ, lớp), thông tin cha mẹ / người giám hộ / người đón, thông tin sức khoẻ và dị ứng, điểm danh, nhật ký ngày, sữa học đường, dinh dưỡng, học phí và các khoản thu chi, hình ảnh do Trường tải lên.
• Dữ liệu kỹ thuật: nhật ký thao tác trong hệ thống (ai làm gì, lúc nào), địa chỉ IP, thông tin trình duyệt phục vụ bảo mật và khắc phục sự cố.

Dữ liệu của trẻ em, đặc biệt thông tin sức khoẻ và dị ứng, là dữ liệu cá nhân cần được bảo vệ đặc biệt. Chúng tôi chỉ xử lý để Trường thực hiện các chức năng quản lý và không dùng cho mục đích nào khác.

3. Sự đồng ý của phụ huynh — trách nhiệm của Trường

Trước khi nhập dữ liệu cá nhân của trẻ em và phụ huynh vào Dịch vụ, Trường có trách nhiệm thông báo và có được sự đồng ý (hoặc cơ sở hợp pháp khác theo quy định) của cha, mẹ hoặc người giám hộ, đồng thời giải đáp các yêu cầu của họ về dữ liệu (xem, chỉnh sửa, xoá, rút lại đồng ý). Tính năng “đường link để phụ huynh tự cập nhật hồ sơ” chỉ nên gửi cho đúng phụ huynh của bé; mỗi link gắn với một trẻ và có thể tạo lại khi cần.

4. Mục đích sử dụng

• Cung cấp, vận hành, bảo trì và cải thiện chức năng của Dịch vụ cho Trường.
• Xác thực người dùng, phân quyền, ngăn chặn truy cập trái phép, gian lận và sự cố.
• Liên hệ về vận hành Dịch vụ (thay đổi, bảo trì, thông báo quan trọng).
• Tuân thủ nghĩa vụ pháp lý khi có yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền.

Chúng tôi không bán dữ liệu, không dùng dữ liệu của Trường để quảng cáo hay lập hồ sơ thương mại.

5. Chia sẻ dữ liệu

• Không chia sẻ dữ liệu của Trường cho bên thứ ba, trừ các trường hợp dưới đây.
• Nhà cung cấp hạ tầng giúp vận hành Dịch vụ (máy chủ, cơ sở dữ liệu, lưu trữ tệp/hình ảnh đám mây như Cloudflare R2, dịch vụ mạng). Họ chỉ xử lý dữ liệu theo yêu cầu vận hành của chúng tôi và có nghĩa vụ bảo mật.
• Khi có yêu cầu hợp pháp bằng văn bản của cơ quan nhà nước có thẩm quyền.
• Dữ liệu của mỗi Trường được tách biệt với Trường khác; người dùng Trường này không xem được dữ liệu Trường khác.

6. Bảo mật

Chúng tôi áp dụng các biện pháp hợp lý như: mã hoá kết nối (HTTPS), băm mật khẩu, phân quyền theo vai trò và theo cơ sở, tách dữ liệu theo từng Trường, nhật ký thao tác, giới hạn quyền truy cập của người vận hành. Tuy nhiên không có hệ thống nào an toàn tuyệt đối; Trường cũng cần giữ bí mật mật khẩu, dùng mật khẩu mạnh và chỉ cấp quyền cần thiết cho nhân viên.

Nếu xảy ra sự cố lộ lọt dữ liệu ảnh hưởng tới Trường, chúng tôi sẽ thông báo cho Trường trong thời gian sớm nhất có thể để Trường thực hiện nghĩa vụ của mình.

7. Lưu trữ và xoá dữ liệu

• Dữ liệu được lưu trong thời gian Trường còn sử dụng Dịch vụ.
• Trường có thể xoá dữ liệu vận hành hoặc yêu cầu xoá toàn bộ tài khoản và dữ liệu bằng cách liên hệ chúng tôi; chúng tôi sẽ xử lý trong thời gian hợp lý (thông thường không quá 30 ngày). Bản sao lưu có thể còn tồn tại thêm một thời gian ngắn trước khi bị ghi đè.
• Chúng tôi có thể lưu lại một số thông tin tối thiểu khi pháp luật yêu cầu hoặc để giải quyết tranh chấp, ngăn chặn lạm dụng.

8. Quyền của chủ thể dữ liệu

Cha mẹ / người giám hộ và các cá nhân có dữ liệu trong hệ thống có quyền được biết, đồng ý hoặc rút lại đồng ý, truy cập, chỉnh sửa, xoá, hạn chế xử lý, phản đối xử lý dữ liệu của mình theo pháp luật. Vì Trường là bên kiểm soát, vui lòng gửi yêu cầu trước tiên cho Trường. Nếu không liên hệ được Trường, bạn có thể gửi cho chúng tôi qua email nam88688@gmail.com để được hỗ trợ.

9. Lưu trữ cục bộ trên trình duyệt (cookie)

Dịch vụ dùng bộ nhớ của trình duyệt (localStorage) chỉ để giữ trạng thái đăng nhập, cơ sở đang chọn và cài đặt giao diện. Chúng tôi không dùng cookie theo dõi hay quảng cáo của bên thứ ba.

10. Trẻ em

Dịch vụ dành cho người quản lý và nhân viên của Trường, không dành cho trẻ em tự sử dụng. Dữ liệu trẻ em chỉ được nhập bởi Trường hoặc bởi phụ huynh (qua đường link Trường cung cấp).

11. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách này và sẽ thông báo thay đổi quan trọng trên trang web hoặc trong ứng dụng.

12. Liên hệ

One Babi Team — Email: nam88688@gmail.com.