Patakaran sa Privacy

1. Impormasyong kinokolekta namin

Kinokolekta namin ang mga sumusunod na kategorya ng data:

• Impormasyon ng account: pangalan, email address, password hash, tungkulin (estudyante, recruiter, admin), larawan sa profile kung mag-a-upload ka.
• Impormasyon sa pagtatanong at akademiko: impormasyong isinusumite mo sa pamamagitan ng aming mga form ng pagtatanong at intake, gaya ng iyong pangalan, email address, numero ng telepono, bansang pinagmulan, mga target na bansa, ninanais na antas ng degree, mga interes sa programa, mga iskor sa pagsusulit (TOEFL/IELTS/GRE/GMAT, atbp.), GPA, naunang institusyon, badyet, at termino ng pagpasok. Maaari kang magsumite ng pagtatanong nang walang account.
• Mga dokumentong ina-upload mo: mga transcript, statement of purpose, sulat ng rekomendasyon, kopya ng pasaporte, mga dokumento ng visa, at iba pang materyales sa aplikasyon.
• Mga komunikasyon: mga mensaheng ipinapadala mo sa mga advisor, support ticket, mga isinumiteng review.
• Impormasyon ng referral: kung sasali ka sa aming referral o recruiter program, o mag-sign up gamit ang referral code o link ng iba, itinatala namin ang referral code at ang resultang koneksyon sa pagitan ng mga account upang pangasiwaan ang programa.
• Impormasyon sa pagbabayad: hindi namin iniimbak ang mga numero ng card; ang mga pagbabayad ay pinoproseso ng Stripe, na tumatanggap ng detalye ng card direkta mula sa iyong browser. Pinananatili namin ang payment identifier ng Stripe, ang halagang siningil, at ang status ng pagbili.
• Impormasyon sa paggamit at device: IP address, user-agent string, request path, at timestamp na naitala sa mga server-side log at sa aming edge provider (Cloudflare). Ginagamit para sa seguridad, pag-iwas sa pang-aabuso, at debugging lamang. Hindi kami nagpapatakbo ng client-side analytics o advertising tracker.
• Mga talaan ng pahintulot: kapag nagsumite ka ng pagtatanong, nagrehistro, o nag-opt in sa marketing email, iniimbak namin ang talaan ng pahintulot na ibinigay mo (aling checkbox, sa aling pahina, ang bersyon ng patakaran, ang iyong IP, at ang iyong user-agent noong panahong iyon) upang maipakita namin ang pahintulot kung kuwestiyunin sa hinaharap.
• Mga provider ng authentication: kung mag-log in ka gamit ang Google, natatanggap namin ang iyong pangalan, email, at larawan sa profile mula sa Google ayon sa iyong pahintulot.

2. Bakit namin pinoproseso ang data na ito (mga legal na batayan)

Para sa mga user sa EU, UK, at EEA, umaasa kami sa mga sumusunod na legal na batayan sa ilalim ng GDPR:

• Kontrata (Art. 6(1)(b)): upang gumawa at pamahalaan ang iyong account, tumugon sa iyong mga pagtatanong, magpakita ng mga kaugnay na listahan ng unibersidad at scholarship, magproseso ng mga pagbabayad, maghatid ng mga biniling serbisyo, magbigay ng suporta ng advisor, at pangasiwaan ang referral program.
• Lehitimong interes (Art. 6(1)(f)): upang patakbuhin at pangalagaan ang Serbisyo, pigilan ang panloloko at pang-aabuso, suriin ang pinagsama-samang paggamit upang mapabuti ang kalidad ng produkto, at tumugon sa iyong mga pagtatanong.
• Legal na obligasyon (Art. 6(1)(c)): upang sumunod sa mga kinakailangan sa buwis, accounting, at regulasyon.
• Pahintulot (Art. 6(1)(a)): para sa mga opsyonal na komunikasyon sa marketing.

3. Paano namin ibinabahagi ang iyong data

Hindi namin ibinebenta ang iyong personal na data. Hindi namin ibinabahagi ang iyong personal na data sa mga unibersidad o provider ng scholarship; ang mga listahan sa Serbisyo ay kinuha mula sa pampublikong pinagmulan, at hindi kami recruitment agent ng anumang institusyon. Ibinabahagi namin ang data sa:

• Mga service provider na tumutulong sa amin na patakbuhin ang Serbisyo:
  • Stripe, Inc. (pagproseso ng pagbabayad, USA), patakaran sa privacy.
  • Hetzner Online GmbH (server hosting, Germany), patakaran sa privacy.
  • Cloudflare, Inc. (DNS, CDN, TLS, edge security, at R2 object storage para sa mga na-upload na dokumento gaya ng kopya ng pasaporte at visa, USA), patakaran sa privacy.
  • Neon, Inc. (managed na Postgres database, rehiyon: AWS Frankfurt, Germany), patakaran sa privacy.
  • Resend, Inc. (transactional email, USA), patakaran sa privacy.
  • Google LLC (OAuth sign-in, USA), patakaran sa privacy.
  Ang mga provider na ito ay limitado sa kontrata na gamitin ang iyong data ayon lamang sa kinakailangan upang magbigay ng serbisyo sa amin.
• Mga awtoridad na legal: kapag kinakailangan ng batas, subpoena, o upang protektahan ang aming mga karapatan at kaligtasan.
• Mga paglipat ng negosyo: kaugnay ng isang merger, pagkuha, o pagbebenta ng mga asset (na may abiso sa iyo).

4. Mga internasyonal na paglipat ng data

Ang aming mga server at pangunahing database ay matatagpuan sa Germany (EU). Ang ilan sa aming mga service provider (Stripe, Resend, Cloudflare, Google) ay nakabase sa Estados Unidos. Kapag inililipat ang data sa labas ng EU/EEA, umaasa kami sa Standard Contractual Clauses (SCCs) na inaprubahan ng European Commission, at sa sertipikasyon ng bawat provider sa ilalim ng mga naaangkop na framework (hal., EU-US Data Privacy Framework).

5. Gaano katagal namin pinapanatili ang iyong data

• Data ng account: hangga't aktibo ang iyong account, at hanggang 24 na buwan pagkatapos ng pagtanggal para sa pag-iwas sa panloloko.
• Mga dokumento ng aplikasyon (mga transcript, statement, rekomendasyon, iskor sa pagsusulit): pinananatili habang may aktibong serbisyo ka sa amin, at kung hindi naman ay inaalis kapag naabot na nila ang aming retention window pagkatapos ng pag-upload. Ang mga sensitibong dokumento ng pagkakakilanlan at pananalapi (kopya ng pasaporte, mga talaang pinansyal) ay itinatago nang mas maikli kaysa sa ibang dokumento. Maaari mo ring tanggalin ang anumang dokumento mismo mula sa iyong dashboard anumang oras. Tingnan ang “Paano namin tinatanggal ang mga dokumento” sa ibaba.
• Mga talaan ng pagbabayad: 7 taon para sa pagsunod sa buwis at accounting.
• Mga komunikasyon sa suporta: hanggang 3 taon pagkatapos ng paglutas.
• Mga server log: hanggang 90 araw.

Paano namin tinatanggal ang mga dokumento

Naglalapat kami ng proseso ng pagpapanatili ng data sa mga na-upload na dokumento upang hindi namin ito hawakan nang mas matagal kaysa sa kinakailangan. Nagiging karapat-dapat para sa pagtanggal ang isang dokumento kapag wala ka nang aktibong serbisyo sa amin at mas matanda na ito kaysa sa retention window para sa uri nito, o kapag naabot na nito ang isang ganap na pinakamataas na edad anuman ang aktibidad. Ang mga dokumentong nakatali sa isang aktibong serbisyo ay hindi kailanman tinatanggal ng prosesong ito. Bago tanggalin ang anumang dokumento, ipapadala namin sa iyo ang email at magpapakita ng abiso sa iyong dashboard, at maaari mong markahan ang isang dokumento na panatilihin kung kailangan mo pa ito. Ang mga karapat-dapat na dokumento ay unang itatago at hahawakan sa loob ng isang grace period kung kailan maaari itong maibalik, at pagkatapos ay permanenteng buburahin mula sa aming storage. Ang eksaktong retention window ay itinakda ng aming koponan at maaaring magbago; maaari kang humiling ng mas maagang pagtanggal ng iyong data sa pamamagitan ng rights portal na inilarawan sa “Iyong mga karapatan” sa ibaba.

6. Iyong mga karapatan

Depende sa kung saan ka nakatira, maaaring mayroon kang mga sumusunod na karapatan sa iyong personal na data:

• Pag-access: humiling ng kopya ng data na hawak namin tungkol sa iyo.
• Pagwawasto: hilingin sa amin na ayusin ang maling data.
• Pagtanggal: humiling ng pagbura ng iyong account at kaugnay na data (napapailalim sa mga legal na obligasyon sa pagpapanatili).
• Portability: tumanggap ng machine-readable na kopya ng iyong data.
• Pagtutol at paghihigpit: tumutol sa pagproseso o hilingin sa amin na limitahan ito.
• Bawiin ang pahintulot: para sa anumang pagprosesong nakabatay sa pahintulot.
• Reklamo: maghain ng reklamo sa iyong lokal na awtoridad sa proteksyon ng data.

Marami sa mga karapatang ito ay maaari mong gamitin mismo mula sa pahinang Privacy at Data sa loob ng iyong account: maaari mong i-download ang machine-readable na kopya ng iyong data (portability), i-edit ang iyong profile (pagwawasto), pamahalaan ang pahintulot sa marketing, at humiling ng pagtanggal ng account. Para sa anumang hindi mo magagawa doon, mag-email sa amin sa [email protected]. Tumutugon kami sa loob ng 30 araw.

Mga residente ng EU/UK (GDPR/UK GDPR): kung naniniwala kang hindi namin tama ang paghawak sa iyong data, may karapatan kang maghain ng reklamo sa iyong pambansang awtoridad sa proteksyon ng data. Mahahanap mo ang iyong awtoridad sa pamamagitan ng European Data Protection Board.

Mga residente ng California (CCPA/CPRA): bukod sa mga karapatan sa itaas, may karapatan kang malaman kung anong personal na impormasyon ang kinokolekta namin, humiling ng pagtanggal o pagwawasto nito, mag-opt out sa pagbebenta o pagbabahagi ng personal na impormasyon, at limitahan ang paggamit ng sensitibong personal na impormasyon. Hindi namin ibinebenta o ibinabahagi ang personal na impormasyon sa kahulugan ng mga terminong iyon na ginagamit sa CCPA/CPRA (hindi namin ito ipinagpapalit para sa pera o iba pang mahalagang konsiderasyon, at hindi namin ito ibinabahagi para sa cross-context behavioral advertising). Maaari ka ring magtalaga ng awtorisadong ahente na gumawa ng kahilingan sa ngalan mo; biberipikahin namin ang awtoridad ng ahente bago kumilos. Hindi kami nandidiskrimina laban sa mga user na gumagamit ng kanilang mga karapatan sa privacy.

Brazil (LGPD): ang mga data subject sa Brazil ay may katumbas na mga karapatan sa pag-access, pagwawasto, anonymization, portability, pagtanggal, impormasyon tungkol sa pagbabahagi, at pag-bawi ng pahintulot. Ang aming contact sa itaas ay nagsisilbi ring channel para sa mga kahilingan sa LGPD.

Canada (PIPEDA): maaaring humiling ang mga Canadian user ng pag-access at pagwawasto ng kanilang personal na impormasyon, at maaaring bawiin ang pahintulot (napapailalim sa mga legal o kontraktwal na paghihigpit) sa pamamagitan ng pakikipag-ugnayan sa amin sa email sa itaas.

South Korea (PIPA): ang mga user sa Republic of Korea ay may karapatang malaman ang tungkol sa pagproseso ng kanilang personal na impormasyon at i-access, iwasto, tanggalin, at suspindihin ang pagproseso nito, at bawiin ang anumang pahintulot na naunang ibinigay. Kinokolekta namin ang personal na impormasyon lamang nang may iyong pahintulot o ibang lehitimong batayan, ginagamit ito ayon lamang sa mga layuning inilarawan sa patakarang ito, at hindi ito inililipat sa mga third party maliban sa mga itinakda dito. Upang gamitin ang mga karapatang ito, o magbigay ng anumang alalahanin tungkol sa kung paano hinahawakan ang iyong personal na impormasyon, makipag-ugnayan sa amin sa [email protected]. Maaari ka ring mag-ulat ng alalahanin sa Personal Information Protection Commission (PIPC) o sa Korea Internet & Security Agency (KISA).

7. Seguridad

Gumagamit kami ng mga pamantayang panindustriyang hakbang upang protektahan ang iyong data habang inililipat (TLS 1.3) at habang naka-imbak (AES-256 sa aming database at file storage). Ang mga password ay hinahash gamit ang bcrypt. Ang pag-access ay limitado sa mga awtorisadong tauhan ayon sa need-to-know basis. Sa kabila ng mga hakbang na ito, walang sistemang ganap na ligtas; kung matuklasan namin ang isang paglabag na makabuluhang nakaapekto sa iyong data, aabisuhan ka namin at, kung kinakailangan, ang mga kaugnay na awtoridad nang walang labis na pagkaantala.

8. Cookies at analytics

Hindi kami gumagamit ng third-party analytics, advertising, o cross-site tracking. Nagtatala kami ng pangunahing server-side request metadata (IP address, user-agent, request path, at timestamp) para sa seguridad, pag-iwas sa pang-aabuso, at debugging. Ang mga log na ito ay pinananatili nang hanggang 90 araw.

Gumagamit kami ng kaunting bilang ng first-party cookies at isang localStorage entry, na pawang mahigpit na kinakailangan o nakabatay sa kagustuhan (walang kailangang pahintulot sa ilalim ng mga panuntunan sa EU ePrivacy):

• Authentication session (cookie na itinakda ng NextAuth, HTTP-only, mag-e-expire kapag nag-sign out ka o pagkatapos ng session lifetime): pinapanatili kang naka-sign in sa iba't ibang pahina.
• gp_ref (90-araw na TTL): itinatala ang referral code mula sa isang ?ref=CODE URL upang ma-attribute namin ang iyong sign-up sa tamang recruiter o referring user.
• gp-theme (naka-imbak sa browser localStorage, hindi bilang HTTP cookie): naaalala ang iyong kagustuhan sa light/dark/high-contrast.

Maaari mong i-clear ang mga ito anumang oras mula sa site-data controls ng iyong browser. Ang pag-clear sa authentication cookie ay magsa-sign out sa iyo; ang pag-clear sa iba ay babalik sa default at aalisin ang referral attribution.

9. Mga bata

Ang GlobalPath ay hindi nakatuon sa mga batang wala pang 16 taong gulang. Hindi kami sinasadyang kumolekta ng personal na impormasyon mula sa sinumang wala pang 16. Kung malaman namin na nakakolekta kami ng ganoong impormasyon, tatanggalin namin ito. Kung naniniwala kang may batang wala pang 16 na nagbigay sa amin ng personal na data, mangyaring makipag-ugnayan sa amin sa [email protected].

10. Mga pagbabago sa patakarang ito

Maaari naming i-update ang patakarang ito paminsan-minsan. Ang mga makabuluhang pagbabago ay ipapahayag sa pamamagitan ng email at sa pahinang ito, kasama ang binagong petsa ng pagkakabisa sa itaas. Ang patuloy na paggamit ng Serbisyo pagkatapos magkabisa ang mga pagbabago ay nangangahulugan ng pagtanggap sa na-update na patakaran.

11. Makipag-ugnayan sa amin

Para sa mga tanong na partikular sa privacy o upang gamitin ang iyong mga karapatan sa data, makipag-ugnayan sa aming privacy team sa [email protected]. Para sa lahat ng iba pang tanong tungkol sa Serbisyo, makipag-ugnayan sa amin sa [email protected].