Chính Sách Bảo Vệ Dữ Liệu Cá Nhân

1 Bên kiểm soát và xử lý dữ liệu cá nhân

Hệ sinh thái Trạm Hán Ngữ là Bên Kiểm soát và Xử lý dữ liệu cá nhân (Data Controller & Processor) đối với toàn bộ dữ liệu do người dùng cung cấp khi sử dụng dịch vụ trên nền tảng.

2 Các loại dữ liệu cá nhân được thu thập

Chúng tôi chỉ thu thập các danh mục dữ liệu cần thiết phục vụ học tập và khảo thí:

• Dữ liệu định danh cơ bản: Địa chỉ email, tên hiển thị cá nhân (Display Name), mật khẩu tài khoản (được băm bảo mật một chiều bằng thuật toán PBKDF2 có muối ngẫu nhiên).
• Hình ảnh cá nhân: Ảnh đại diện (avatar) tải lên được lưu trữ trên cụm máy chủ lưu trữ đối tượng S3 RustFS tuân thủ chuẩn kiểm soát truy cập.
• Dữ liệu tiến độ học tập: Lịch sử làm bài thi thử HSK, điểm chi tiết 3 kỹ năng (Nghe, Đọc, Viết), chuỗi ngày học tập (Streak), mục tiêu chứng chỉ HSK và câu trả lời trắc nghiệm.
• Dữ liệu kỹ thuật mạng: Địa chỉ IP, user-agent trình duyệt, nhật ký kết nối (access log) và cookie phiên đăng nhập (JWT token) nhằm xác thực an ninh và phòng chống tấn công.

3 Mục đích và phương thức xử lý dữ liệu

• Xác thực và duy trì phiên làm việc: Tạo lập tài khoản, lưu trữ tiến trình làm đề thi và đồng bộ kết quả qua API an toàn giữa các thiết bị của học viên.
• Đo lường năng lực và phản hồi kết quả: Chấm điểm tự động theo khung chuẩn HSK 3.0, phân tích điểm rơi năng lực và hiển thị xếp hạng thi đua trên Bảng vàng (Leaderboard).
• Chăm sóc và hỗ trợ kỹ thuật: Gửi thông báo nhắc nhở luyện thi, tiếp nhận báo lỗi và hỗ trợ giải quyết sự cố tài khoản.
• An toàn thông tin: Giám sát hoạt động truy cập bất thường, chống gian lận trong phòng thi máy và phòng ngừa tấn công mạng.

5 Biện pháp kỹ thuật bảo mật an ninh mạng

• Mã hóa đường truyền: 100% dữ liệu truyền tải giữa máy trạm của học viên và máy chủ được mã hóa thông qua giao thức HTTPS / TLS 1.3 với chứng chỉ SSL hợp chuẩn.
• Kiến trúc mạng nội bộ cô lập: Toàn bộ cơ sở dữ liệu PostgreSQL, cụm bộ nhớ đệm Redis và máy chủ lưu trữ file S3 RustFS chạy cô lập trong mạng nội bộ Docker (Internal Network), hoàn toàn không mở cổng ra Internet công cộng; chỉ có Reverse Proxy (Traefik) được phân quyền tiếp nhận yêu cầu.
• Cơ chế xác thực kép: Sử dụng chuẩn JWT kết hợp Refresh Token được lưu trữ bảo mật, tự động vô hiệu hóa khi học viên đăng xuất hoặc đổi mật khẩu.

6 Quyền và nghĩa vụ của chủ thể dữ liệu (Học viên)

Căn cứ Điều 9 Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân, học viên có đầy đủ các quyền sau:

• Quyền được biết & đồng ý: Được biết rõ loại dữ liệu, mục đích xử lý và có quyền đồng ý hoặc rút lại sự đồng ý bất kỳ lúc nào.
• Quyền truy cập & chỉnh sửa: Trực tiếp truy cập và chỉnh sửa tên hiển thị, mật khẩu và avatar cá nhân tại trang Hồ sơ cá nhân.
• Quyền xóa dữ liệu (User Data Deletion): Học viên có quyền yêu cầu xóa bỏ hoàn toàn tài khoản và dữ liệu cá nhân liên quan bất kỳ lúc nào.
• Quyền khiếu nại & khởi kiện: Khiếu nại tới cơ quan quản lý nhà nước nếu phát hiện hành vi xâm phạm quyền riêng tư.

7 Bảo vệ dữ liệu người dưới 16 tuổi

Trường hợp người học tiếng Trung là học sinh dưới 16 tuổi, việc thu thập thông tin tài khoản phải có sự đồng ý của cha mẹ hoặc người giám hộ hợp pháp. Chúng tôi áp dụng các tiêu chuẩn bảo vệ nghiêm ngặt nhất để bảo đảm quyền riêng tư của người học nhỏ tuổi.