Chính sách quyền riêng tư

1. Thông tin chúng tôi thu thập

Chúng tôi thu thập các loại dữ liệu sau:

• Thông tin tài khoản: tên, địa chỉ email, mã băm mật khẩu, vai trò (sinh viên, nhà tuyển sinh, quản trị viên), ảnh hồ sơ nếu bạn tải lên.
• Thông tin yêu cầu tư vấn & học vấn: thông tin bạn cung cấp qua các biểu mẫu yêu cầu tư vấn và đăng ký của chúng tôi, chẳng hạn như tên, địa chỉ email, số điện thoại, quốc gia xuất xứ, các quốc gia mục tiêu, bậc học mong muốn, ngành học quan tâm, điểm thi (TOEFL/IELTS/GRE/GMAT, v.v.), GPA, trường học trước đây, ngân sách và kỳ nhập học. Bạn có thể gửi yêu cầu tư vấn mà không cần tạo tài khoản.
• Tài liệu bạn tải lên: bảng điểm, thư bày tỏ nguyện vọng, thư giới thiệu, bản sao hộ chiếu, tài liệu thị thực và các tài liệu nộp hồ sơ khác.
• Liên lạc: tin nhắn bạn gửi cho cố vấn, phiếu hỗ trợ, bài đánh giá bạn gửi.
• Thông tin giới thiệu: nếu bạn tham gia chương trình giới thiệu hoặc tuyển sinh của chúng tôi, hoặc đăng ký bằng mã hay liên kết giới thiệu của người khác, chúng tôi ghi lại mã giới thiệu và mối liên kết phát sinh giữa các tài khoản nhằm quản lý chương trình.
• Thông tin thanh toán: chúng tôi không lưu trữ số thẻ; các khoản thanh toán được xử lý bởi Stripe, đơn vị nhận thông tin thẻ trực tiếp từ trình duyệt của bạn. Chúng tôi lưu giữ mã định danh thanh toán của Stripe, số tiền đã thu và trạng thái giao dịch mua.
• Thông tin sử dụng & thiết bị: địa chỉ IP, chuỗi user-agent, đường dẫn yêu cầu và dấu thời gian được ghi lại trong nhật ký phía máy chủ và tại nhà cung cấp biên của chúng tôi (Cloudflare). Chỉ được dùng cho mục đích bảo mật, phòng chống lạm dụng và gỡ lỗi. Chúng tôi không chạy công cụ phân tích phía máy khách hay trình theo dõi quảng cáo.
• Hồ sơ đồng ý: khi bạn gửi yêu cầu tư vấn, đăng ký hoặc chọn nhận email tiếp thị, chúng tôi lưu lại bản ghi về sự cho phép bạn đã cấp (ô chọn nào, trên trang nào, phiên bản chính sách, địa chỉ IP và user-agent tại thời điểm đó) để có thể chứng minh sự đồng ý nếu sau này bị khiếu nại.
• Nhà cung cấp xác thực: nếu bạn đăng nhập bằng Google, chúng tôi nhận được tên, email và ảnh hồ sơ của bạn từ Google theo sự đồng ý của bạn.

2. Vì sao chúng tôi xử lý dữ liệu này (cơ sở pháp lý)

Đối với người dùng tại EU, Anh và EEA, chúng tôi dựa trên các cơ sở pháp lý sau theo GDPR:

• Hợp đồng (Điều 6(1)(b)): để tạo và quản lý tài khoản của bạn, phản hồi các yêu cầu của bạn, hiển thị danh sách trường đại học và học bổng phù hợp, xử lý thanh toán, cung cấp dịch vụ đã mua, hỗ trợ cố vấn và quản lý chương trình giới thiệu.
• Lợi ích chính đáng (Điều 6(1)(f)): để vận hành và bảo mật Dịch vụ, ngăn chặn gian lận và lạm dụng, phân tích mức sử dụng tổng hợp nhằm cải thiện chất lượng sản phẩm và phản hồi các yêu cầu của bạn.
• Nghĩa vụ pháp lý (Điều 6(1)(c)): để tuân thủ các yêu cầu về thuế, kế toán và quy định.
• Sự đồng ý (Điều 6(1)(a)): đối với các liên lạc tiếp thị tùy chọn.

3. Cách chúng tôi chia sẻ dữ liệu của bạn

Chúng tôi không bán dữ liệu cá nhân của bạn. Chúng tôi không chia sẻ dữ liệu cá nhân của bạn với các trường đại học hay đơn vị cấp học bổng; các danh sách trên Dịch vụ được biên soạn từ các nguồn công khai, và chúng tôi không phải là đại lý tuyển sinh cho bất kỳ tổ chức nào. Chúng tôi chia sẻ dữ liệu với:

• Nhà cung cấp dịch vụ giúp chúng tôi vận hành Dịch vụ:
  • Stripe, Inc. (xử lý thanh toán, Hoa Kỳ), chính sách quyền riêng tư.
  • Hetzner Online GmbH (lưu trữ máy chủ, Đức), chính sách quyền riêng tư.
  • Cloudflare, Inc. (DNS, CDN, TLS, bảo mật biên và lưu trữ đối tượng R2 cho các tài liệu tải lên như bản sao hộ chiếu và thị thực, Hoa Kỳ), chính sách quyền riêng tư.
  • Neon, Inc. (cơ sở dữ liệu Postgres được quản lý, khu vực: AWS Frankfurt, Đức), chính sách quyền riêng tư.
  • Resend, Inc. (email giao dịch, Hoa Kỳ), chính sách quyền riêng tư.
  • Google LLC (đăng nhập OAuth, Hoa Kỳ), chính sách quyền riêng tư.
  Các nhà cung cấp này bị ràng buộc theo hợp đồng chỉ được sử dụng dữ liệu của bạn trong phạm vi cần thiết để cung cấp dịch vụ cho chúng tôi.
• Cơ quan pháp luật: khi pháp luật, trát yêu cầu, hoặc để bảo vệ quyền lợi và sự an toàn của chúng tôi.
• Chuyển giao kinh doanh: liên quan đến sáp nhập, mua lại hoặc bán tài sản (có thông báo cho bạn).

4. Chuyển dữ liệu quốc tế

Máy chủ và cơ sở dữ liệu chính của chúng tôi đặt tại Đức (EU). Một số nhà cung cấp dịch vụ của chúng tôi (Stripe, Resend, Cloudflare, Google) có trụ sở tại Hoa Kỳ. Khi dữ liệu được chuyển ra ngoài EU/EEA, chúng tôi dựa trên Điều khoản hợp đồng tiêu chuẩn (SCC) được Ủy ban Châu Âu phê duyệt, và trên chứng nhận của từng nhà cung cấp theo các khuôn khổ áp dụng (ví dụ: Khuôn khổ quyền riêng tư dữ liệu EU–Hoa Kỳ).

5. Chúng tôi lưu giữ dữ liệu của bạn trong bao lâu

• Dữ liệu tài khoản: trong suốt thời gian tài khoản của bạn còn hoạt động, và tối đa 24 tháng sau khi xóa để phòng chống gian lận.
• Tài liệu nộp hồ sơ (bảng điểm, thư nguyện vọng, thư giới thiệu, điểm thi): được lưu giữ trong khi bạn còn dịch vụ đang hoạt động với chúng tôi, và sẽ bị xóa khi đạt đến thời hạn lưu giữ tính từ lúc tải lên. Các tài liệu danh tính và tài chính nhạy cảm (bản sao hộ chiếu, hồ sơ tài chính) được lưu giữ trong thời gian ngắn hơn so với các tài liệu khác. Bạn cũng có thể tự xóa bất kỳ tài liệu nào từ bảng điều khiển của mình bất cứ lúc nào. Xem “Cách chúng tôi xóa tài liệu” bên dưới.
• Hồ sơ thanh toán: 7 năm để tuân thủ quy định về thuế và kế toán.
• Liên lạc hỗ trợ: tối đa 3 năm sau khi được giải quyết.
• Nhật ký máy chủ: tối đa 90 ngày.

Cách chúng tôi xóa tài liệu

Chúng tôi áp dụng quy trình lưu giữ dữ liệu đối với các tài liệu được tải lên để không lưu giữ chúng lâu hơn mức cần thiết. Một tài liệu đủ điều kiện để xóa khi bạn không còn dịch vụ đang hoạt động với chúng tôi và tài liệu đó cũ hơn thời hạn lưu giữ theo loại của nó, hoặc khi nó đạt đến độ tuổi tối đa tuyệt đối bất kể có hoạt động hay không. Các tài liệu gắn với một dịch vụ đang hoạt động sẽ không bao giờ bị quy trình này xóa. Trước khi bất kỳ tài liệu nào bị xóa, chúng tôi sẽ gửi email cho bạn và hiển thị thông báo trên bảng điều khiển của bạn, và bạn có thể đánh dấu giữ lại một tài liệu nếu vẫn còn cần đến. Các tài liệu đủ điều kiện trước tiên sẽ bị ẩn và giữ lại trong một thời gian gia hạn để có thể khôi phục, sau đó bị xóa vĩnh viễn khỏi kho lưu trữ của chúng tôi. Các thời hạn lưu giữ cụ thể do nhóm của chúng tôi cấu hình và có thể thay đổi; bạn luôn có thể yêu cầu xóa dữ liệu của mình sớm hơn thông qua cổng quyền được mô tả trong “Quyền của bạn” bên dưới.

6. Quyền của bạn

Tùy vào nơi bạn sinh sống, bạn có thể có các quyền sau đối với dữ liệu cá nhân của mình:

• Truy cập: yêu cầu một bản sao dữ liệu mà chúng tôi lưu giữ về bạn.
• Chỉnh sửa: yêu cầu chúng tôi sửa dữ liệu không chính xác.
• Xóa: yêu cầu xóa tài khoản của bạn và dữ liệu liên quan (tùy thuộc vào nghĩa vụ lưu giữ theo pháp luật).
• Tính di động: nhận một bản sao dữ liệu của bạn ở định dạng máy đọc được.
• Phản đối & hạn chế: phản đối việc xử lý hoặc yêu cầu chúng tôi hạn chế việc xử lý.
• Rút lại sự đồng ý: đối với bất kỳ hoạt động xử lý nào dựa trên sự đồng ý.
• Khiếu nại: gửi khiếu nại đến cơ quan bảo vệ dữ liệu tại địa phương của bạn.

Bạn có thể tự thực hiện nhiều quyền trong số này từ trang Quyền riêng tư & Dữ liệu trong tài khoản của bạn: bạn có thể tải xuống bản sao dữ liệu ở định dạng máy đọc được (tính di động), chỉnh sửa hồ sơ (chỉnh sửa), quản lý sự đồng ý tiếp thị và yêu cầu xóa tài khoản. Đối với bất cứ điều gì bạn không thể hoàn tất tại đó, hãy gửi email cho chúng tôi tại [email protected]. Chúng tôi phản hồi trong vòng 30 ngày.

Cư dân EU/Anh (GDPR/UK GDPR): nếu bạn cho rằng chúng tôi xử lý dữ liệu của bạn không đúng cách, bạn có quyền gửi khiếu nại đến cơ quan bảo vệ dữ liệu quốc gia của bạn. Bạn có thể tìm cơ quan của mình qua Ủy ban Bảo vệ Dữ liệu Châu Âu.

Cư dân California (CCPA/CPRA): ngoài các quyền nêu trên, bạn có quyền biết những thông tin cá nhân nào chúng tôi thu thập, yêu cầu xóa hoặc chỉnh sửa, từ chối việc bán hoặc chia sẻ thông tin cá nhân, và hạn chế việc sử dụng thông tin cá nhân nhạy cảm. Chúng tôi không bán hoặc chia sẻ thông tin cá nhân theo nghĩa mà các thuật ngữ này được sử dụng trong CCPA/CPRA (chúng tôi không trao đổi nó để lấy tiền hay lợi ích có giá trị khác, và không chia sẻ nó cho mục đích quảng cáo hành vi xuyên ngữ cảnh). Bạn cũng có thể chỉ định một đại diện được ủy quyền thay mặt bạn gửi yêu cầu; chúng tôi sẽ xác minh thẩm quyền của đại diện trước khi hành động. Chúng tôi không phân biệt đối xử với người dùng thực hiện quyền riêng tư của họ.

Brazil (LGPD): chủ thể dữ liệu tại Brazil có các quyền tương đương về truy cập, chỉnh sửa, ẩn danh hóa, tính di động, xóa, thông tin về việc chia sẻ và thu hồi sự đồng ý. Thông tin liên hệ nêu trên cũng là kênh tiếp nhận các yêu cầu theo LGPD.

Canada (PIPEDA): người dùng Canada có thể yêu cầu truy cập và chỉnh sửa thông tin cá nhân của mình, và có thể rút lại sự đồng ý (tùy thuộc vào các hạn chế pháp lý hoặc hợp đồng) bằng cách liên hệ với chúng tôi tại địa chỉ email nêu trên.

Hàn Quốc (PIPA): người dùng tại Đại Hàn Dân Quốc có quyền được thông báo về việc xử lý thông tin cá nhân của mình và được truy cập, chỉnh sửa, xóa cũng như tạm dừng việc xử lý thông tin đó, và rút lại bất kỳ sự đồng ý nào đã cấp trước đó. Chúng tôi chỉ thu thập thông tin cá nhân khi có sự đồng ý của bạn hoặc một cơ sở hợp pháp khác, chỉ sử dụng cho các mục đích được mô tả trong chính sách này, và không chuyển giao cho bên thứ ba ngoài những trường hợp được nêu ở đây. Để thực hiện các quyền này, hoặc để nêu bất kỳ quan ngại nào về cách thông tin cá nhân của bạn được xử lý, hãy liên hệ với chúng tôi tại [email protected]. Bạn cũng có thể báo cáo quan ngại đến Ủy ban Bảo vệ Thông tin Cá nhân (PIPC) hoặc Cơ quan An ninh & Internet Hàn Quốc (KISA).

7. Bảo mật

Chúng tôi sử dụng các biện pháp theo tiêu chuẩn ngành để bảo vệ dữ liệu của bạn trong khi truyền (TLS 1.3) và khi lưu trữ (AES-256 trên cơ sở dữ liệu và kho lưu trữ tệp của chúng tôi). Mật khẩu được băm bằng bcrypt. Quyền truy cập bị giới hạn cho những nhân sự được ủy quyền trên cơ sở cần biết. Dù có những biện pháp này, không có hệ thống nào hoàn toàn an toàn; nếu phát hiện một vi phạm ảnh hưởng đáng kể đến dữ liệu của bạn, chúng tôi sẽ thông báo cho bạn và, khi được yêu cầu, cho các cơ quan liên quan mà không chậm trễ quá mức.

8. Cookie và phân tích

Chúng tôi không sử dụng phân tích của bên thứ ba, quảng cáo hay theo dõi xuyên trang. Chúng tôi ghi lại siêu dữ liệu yêu cầu cơ bản phía máy chủ (địa chỉ IP, user-agent, đường dẫn yêu cầu và dấu thời gian) cho mục đích bảo mật, phòng chống lạm dụng và gỡ lỗi. Các nhật ký này được lưu giữ tối đa 90 ngày.

Chúng tôi sử dụng một số ít cookie của bên thứ nhất và một mục localStorage, tất cả đều ở mức nghiêm ngặt cần thiết hoặc dựa trên tùy chọn (không cần sự đồng ý theo quy định ePrivacy của EU):

• Phiên xác thực (cookie do NextAuth đặt, chỉ HTTP, hết hạn khi bạn đăng xuất hoặc sau thời hạn của phiên): giữ cho bạn luôn đăng nhập khi chuyển trang.
• gp_ref (thời hạn 90 ngày): ghi lại mã giới thiệu từ URL dạng ?ref=CODE để chúng tôi có thể quy việc đăng ký của bạn cho đúng nhà tuyển sinh hoặc người giới thiệu.
• gp-theme (lưu trong localStorage của trình duyệt, không phải cookie HTTP): ghi nhớ tùy chọn giao diện sáng/tối/tương phản cao của bạn.

Bạn có thể xóa các mục này bất cứ lúc nào từ phần kiểm soát dữ liệu trang web trong trình duyệt của bạn. Việc xóa cookie xác thực sẽ đăng xuất bạn; việc xóa các mục khác sẽ trở về mặc định và loại bỏ việc quy gán giới thiệu.

9. Trẻ em

GlobalPath không hướng đến trẻ em dưới 16 tuổi. Chúng tôi không cố ý thu thập thông tin cá nhân từ bất kỳ ai dưới 16 tuổi. Nếu phát hiện đã thu thập thông tin như vậy, chúng tôi sẽ xóa nó. Nếu bạn cho rằng một trẻ em dưới 16 tuổi đã cung cấp cho chúng tôi dữ liệu cá nhân, vui lòng liên hệ với chúng tôi tại [email protected].

10. Thay đổi chính sách này

Chúng tôi có thể cập nhật chính sách này theo thời gian. Những thay đổi quan trọng sẽ được thông báo qua email và trên trang này, với ngày có hiệu lực đã sửa đổi ở trên. Việc tiếp tục sử dụng Dịch vụ sau khi các thay đổi có hiệu lực đồng nghĩa với việc chấp nhận chính sách đã cập nhật.

11. Liên hệ với chúng tôi

Đối với các câu hỏi cụ thể về quyền riêng tư hoặc để thực hiện quyền dữ liệu của bạn, hãy liên hệ với nhóm quyền riêng tư của chúng tôi tại [email protected]. Đối với mọi câu hỏi khác về Dịch vụ, hãy liên hệ với chúng tôi tại [email protected].