Chính Sách Bảo Mật

1.Chính sách này nói về cái gì

Trang này mô tả VPath thu thập dữ liệu nào của bạn, lưu ở đâu, dùng để làm gì, chia sẻ với ai, và bạn có những quyền gì — bao gồm cả cách yêu cầu xóa tài khoản.

Chính sách áp dụng cho website vpathacademy.com và phần backend đi kèm. Dữ liệu được lưu trên máy chủ riêng (VPS) do VPath thuê, đặt tại Việt Nam.

2.Dữ liệu VPath thu thập

Bạn chủ động cung cấp:

• Tài khoản — họ tên, địa chỉ email, mật khẩu. Mật khẩu không được lưu ở dạng đọc được: hệ thống chỉ giữ chuỗi băm bcrypt, VPath không có cách nào xem lại mật khẩu của bạn.
• Yêu cầu nạp ví — số tiền, mã tham chiếu chuyển khoản (dạng VPATH-<mã người dùng>-<mã yêu cầu>), ghi chú kèm theo.
• Bài viết và bình luận trong khu Cộng Đồng, cùng tên hiển thị của bạn.
• Đánh giá khóa học — số sao và nhận xét bạn viết.
• Học kèm 1:1 — gia sư VPath ghép cho bạn, môn học, ngày giờ và thời lượng từng buổi. Học phí không đi qua ví nên VPath không lưu giao dịch thanh toán nào cho phần này.
• Ngày sinh — dùng để biết bạn đã đủ 18 tuổi chưa. Người dưới 18 tuổi thì mọi thông báo về lịch học và kết quả được gửi kèm cho địa chỉ email của phụ huynh mà bạn khai.
• Tên, ảnh và kết quả học tập dùng để giới thiệu — chỉ khi bạn (và phụ huynh, nếu bạn dưới 18 tuổi) đồng ý bằng văn bản cho VPath đăng lên trang giới thiệu. Bạn rút lại đồng ý bất cứ lúc nào bằng cách nhắn qua kênh hỗ trợ; VPath gỡ khỏi trang trong vòng 48 giờ. Không đồng ý thì không đăng, và điều đó không ảnh hưởng gì tới việc học của bạn.
• File tải lên — chỉ áp dụng cho tài khoản Worker/Admin tải Past Paper lên hệ thống.

Hệ thống tự sinh ra khi bạn dùng:

• Số dư ví và lịch sử giao dịch — mỗi lần cộng/trừ tiền đều được ghi sổ kèm mô tả và thời điểm.
• Khóa học đã mua và tiến độ học — bài nào đã đánh dấu hoàn thành, phần trăm hoàn thành.
• Giờ vào lớp và giờ tan lớp của mỗi buổi học kèm trực tuyến, cùng số phút bạn và gia sư cùng có mặt. Dùng để đối chiếu buổi học và tính công cho gia sư. Nội dung buổi học không được ghi lại ở đây.
• Nhật ký máy chủ — địa chỉ IP, thời điểm và đường dẫn truy cập. Dùng để chặn dò mật khẩu và giới hạn tần suất truy cập (rate limit).
• Token đặt lại mật khẩu / xác minh email — lưu ở dạng băm, dùng một lần, tự hết hạn.

3.Phiên đăng nhập: JWT lưu trong localStorage

VPath không dùng cookie phiên. Khi bạn đăng nhập thành công, máy chủ trả về một chuỗi JWT (JSON Web Token) và trình duyệt lưu chuỗi đó trong localStorage dưới khóa vpath_token. Mỗi lần gọi API, trình duyệt gửi kèm chuỗi này để máy chủ biết bạn là ai.

Chúng tôi nói rõ điều này vì nó có hệ quả thật, cả tốt lẫn xấu:

• Token không tự gửi kèm mọi request như cookie, nên VPath không bị nhóm tấn công CSRF.
• Nhưng token đọc được bằng JavaScript. Nếu website dính lỗ hổng XSS, hoặc bạn dán mã lạ vào console trình duyệt, token có thể bị lấy cắp và dùng để đăng nhập thay bạn.
• Token nằm trong trình duyệt cho tới khi hết hạn hoặc bạn bấm Đăng Xuất. Trên máy tính dùng chung, hãy luôn Đăng Xuất thay vì chỉ đóng tab.
• Thời hạn phiên: mặc định 24 giờ; tích "Ghi nhớ đăng nhập" thì 30 ngày; tài khoản quản trị luôn 8 giờ, không kéo dài được.

Ngoài token, VPath còn lưu trong trình duyệt vài tùy chọn hiển thị nhỏ (ví dụ giỏ hàng tạm). Không có cookie theo dõi, không có pixel quảng cáo.

4.VPath dùng dữ liệu để làm gì

• Cho bạn đăng nhập và giữ phiên làm việc.
• Cấp quyền truy cập đúng khóa học bạn đã mua, và ghi lại tiến độ học.
• Xử lý nạp ví: đối chiếu mã tham chiếu với sao kê ngân hàng rồi cộng tiền.
• Gửi email chức năng: xác minh địa chỉ email, đặt lại mật khẩu. VPath không gửi email quảng cáo.
• Vận hành khu Cộng Đồng và hiển thị đánh giá khóa học kèm tên người viết.
• Bảo vệ hệ thống: phát hiện đăng nhập bất thường, chặn spam, giới hạn tần suất truy cập.

VPath không bán, không cho thuê, không trao đổi dữ liệu cá nhân của bạn với bất kỳ ai vì mục đích thương mại.

5.Bên thứ ba chạm tới dữ liệu của bạn

Từ 21/08/2026, phông chữ, bộ icon và các thư viện giao diện đều được VPath tự lưu trên máy chủ của mình — trình duyệt của bạn không còn phải tải chúng từ Google hay CDN bên ngoài như trước. Số bên thứ ba còn chạm tới dữ liệu của bạn rút xuống còn:

• Unsplash — một số ảnh minh họa khóa học.
• Nhà cung cấp gửi email — khi được cấu hình, địa chỉ email của bạn được chuyển cho dịch vụ này để gửi thư xác minh / đặt lại mật khẩu.

6.Lưu trong bao lâu

• Tài khoản và dữ liệu học tập — lưu chừng nào tài khoản còn tồn tại.
• Lịch sử giao dịch ví — giữ lại kể cả sau khi tài khoản bị xóa, ở dạng đã gỡ bỏ danh tính, vì đây là sổ sách tài chính cần đối chiếu.
• Token đặt lại mật khẩu — hết hạn sau 60 phút, dùng một lần.
• Nhật ký máy chủ — xoay vòng và tự xóa sau một thời gian ngắn.

7.Quyền của bạn

• Xem — trang Tài Khoản hiển thị hồ sơ, số dư ví, lịch sử giao dịch, khóa học và tiến độ của bạn.
• Sửa — bạn tự sửa được họ tên; đổi email hoặc mật khẩu qua chức năng tương ứng.
• Xóa bài viết — bạn có thể xóa bài và bình luận của mình trong khu Cộng Đồng.
• Rút lại yêu cầu nạp ví — yêu cầu đang chờ duyệt thì bạn tự hủy được.
• Yêu cầu xóa tài khoản — xem mục kế tiếp.

8.Yêu cầu xóa tài khoản

Vào trang Tài Khoản, kéo xuống mục "Xóa tài khoản", ghi lý do (không bắt buộc) và gửi yêu cầu. Yêu cầu chuyển tới quản trị viên VPath.

Vì sao không xóa ngay lập tức: tài khoản có thể còn số dư ví chưa dùng, còn khóa học đã trả tiền, hoặc còn giao dịch đang chờ đối chiếu. Quản trị viên cần kiểm tra và xử lý phần tiền trước khi xóa, để bạn không mất tiền một cách âm thầm.

Khi yêu cầu được duyệt, những dữ liệu sau bị xóa vĩnh viễn:

• Hồ sơ tài khoản: họ tên, email, chuỗi băm mật khẩu.
• Khóa học đã đăng ký và toàn bộ tiến độ học.
• Đánh giá khóa học, bài viết và bình luận trong Cộng Đồng.
• Lịch đặt gia sư và các yêu cầu nạp ví.
• Cả tài liệu trên kho lưu trữ đám mây: bản ghi hình buổi học, bài test đã làm, bản in bài làm và ảnh giấy nháp bạn gửi kèm. VPath xóa cả thư mục riêng của bạn trên kho đó, không chỉ xóa trong cơ sở dữ liệu của website.

Cái được giữ lại: các dòng sổ sách kế toán bắt buộc, ở dạng đã tách khỏi danh tính của bạn. Đây là hồ sơ tài chính, không dùng để nhận diện lại bạn.

Một buổi học là dữ liệu của hai người. Bản ghi hình, bài test và bài làm của một buổi thuộc về cả học sinh lẫn gia sư. Nếu gia sư xóa tài khoản, VPath không xóa thư mục của các cặp mà họ từng dạy, vì học sinh trong đó vẫn còn tài khoản và vẫn giữ quyền xem lại bài giảng của mình. Ngược lại, khi học sinh xóa tài khoản thì cả thư mục của các cặp em tham gia được xóa. Nếu bạn là gia sư và muốn xóa triệt để phần của mình, hãy liên hệ VPath để chúng tôi hỏi ý kiến từng học sinh liên quan trước.

Nói thẳng về một giới hạn: kho lưu trữ đám mây là dịch vụ của bên thứ ba (Google Drive). Nếu dịch vụ đó đang gặp sự cố đúng lúc VPath xóa tài khoản của bạn, một số tệp có thể còn sót lại; VPath ghi nhận số tệp không xóa được vào nhật ký quản trị và dọn nốt bằng tay. Bạn có thể viết thư hỏi lại bất cứ lúc nào.

9.VPath bảo vệ dữ liệu thế nào

• Mật khẩu băm bằng bcrypt, không lưu bản gốc.
• Toàn bộ website chạy qua HTTPS (chứng chỉ Let's Encrypt); truy cập HTTP bị chuyển hướng sang HTTPS.
• Máy chủ gửi kèm các header bảo mật: HSTS, X-Content-Type-Options, Referrer-Policy, X-Frame-Options, Permissions-Policy.
• Giới hạn tần suất (rate limit) trên các đường dẫn nhạy cảm: đăng nhập, ví, mua hàng, đặt gia sư, đăng bài, tải file.
• Mọi thao tác trừ tiền chạy trong transaction có khóa dòng, không thể bị trừ trùng hoặc tiêu quá số dư.
• Database chỉ mở cho máy chủ ứng dụng, không mở ra Internet. Backup được tạo định kỳ.

Không hệ thống nào an toàn tuyệt đối. Nếu xảy ra sự cố rò rỉ dữ liệu ảnh hưởng tới bạn, VPath sẽ thông báo qua email đăng ký và trên website.

10.Tin nhắn giữa học sinh và gia sư

Từ 30/08/2026, VPath có tính năng nhắn tin giữa học sinh và gia sư. Bốn điều bạn cần biết trước khi dùng:

• Kênh nhắn tin chỉ mở giữa gia sư và học sinh đã được VPath xếp học với nhau. Từ 02/09/2026, bạn không nhắn tin được với một gia sư bất kỳ trên trang tìm gia sư. Kênh mở khi VPath đã gán gia sư cho bạn và buổi học đầu tiên đã được xếp lịch, rồi đóng lại khi khoá học kết thúc. Học sinh là người mở cuộc trò chuyện đầu tiên; gia sư không nhắn trước được. Muốn hỏi về khoá học trước khi bắt đầu, hãy dùng đường đăng ký học kèm 1:1 để liên hệ đội ngũ VPath.
• Tin nhắn được quét tự động. Bộ lọc của VPath dò số điện thoại, địa chỉ email và lời rủ trao đổi qua ứng dụng ngoài, nhằm giữ việc dạy và học trong VPath, nơi cả hai bên được VPath đứng giữa hỗ trợ khi có vướng mắc. Tin chứa số điện thoại, địa chỉ email hoặc link Facebook/Instagram sẽ không tới người nhận, và bạn được báo ngay lúc gửi kèm lý do; một số tin khác được đánh dấu để đội ngũ VPath xem lại.
• Tin nhắn lưu 1 tháng, riêng trao đổi trong một khoá học thì lưu suốt khoá. Mặc định, tin nhắn và tệp đính kèm được tự động xóa khỏi máy chủ sau 30 ngày. Ba ngoại lệ: (1) trao đổi giữa gia sư và học sinh của cùng một khoá đang học hoặc tạm dừng được giữ lại trong suốt khoá, và giữ thêm 90 ngày kể từ ngày khoá kết thúc, để hai bên tra lại nội dung học tập đã dặn nhau; (2) khi có báo cáo vi phạm chưa xử lý, VPath giữ lại toàn bộ cuộc trò chuyện bị báo cáo cho tới khi phân xử xong; (3) tin bị bộ lọc đánh dấu để đội ngũ VPath xem lại được giữ cho tới khi việc xem lại kết thúc.
• Đội ngũ VPath có thể xem lại nội dung hội thoại. Để bảo đảm chất lượng dạy học và ngăn việc đưa quan hệ dạy học ra ngoài nền tảng, quản trị viên VPath có thể xem lại nội dung trao đổi giữa học sinh và gia sư. Mỗi lần mở đều được ghi lại trong nhật ký quản trị nội bộ.

Trong khung chat có nút Báo cáo. Nếu bạn gặp quấy rối, lừa đảo hay nội dung không phù hợp, hãy bấm nút đó: danh tính người báo cáo được giữ kín với người bị báo cáo. Tệp gửi kèm (PDF, ảnh) chỉ người trong hội thoại tải được, không có đường dẫn công khai. Vui lòng giữ mọi trao đổi về việc học trong VPath để đội ngũ VPath hỗ trợ được khi có tranh chấp.

11.Lớp học video

Từ 30/08/2026, buổi học 1:1 đã đặt diễn ra trong phòng học video ngay trên VPath. Bốn điều bạn cần biết:

• VPath ghi hình buổi học để phục vụ chính việc học. Bản ghi hình giúp học sinh có nhu cầu xem lại bài giảng bất cứ lúc nào, đồng thời đội ngũ VPath rà soát thường xuyên để đảm bảo chất lượng dịch vụ tốt nhất. Video xem lại được đính vào đúng buổi học trong trang Tài Khoản, chỉ mở cho học sinh của buổi đó, gia sư dạy buổi đó và đội ngũ VPath; bản ghi được lưu trên kho lưu trữ đám mây do VPath quản lý, không có đường dẫn công khai trên website.
• Hình và tiếng được mã hóa trên đường truyền. Buổi học chỉ có hai người, và luồng hình tiếng đi thẳng giữa hai máy dưới dạng đã mã hóa. Máy chủ của VPath chỉ giúp hai bên tìm thấy nhau lúc bắt đầu, không nhìn thấy nội dung buổi học trong lúc diễn ra.
• Địa chỉ IP của bạn không lộ cho người kia. Mọi cuộc gọi đều đi vòng qua một máy chủ trung chuyển thuê ngoài, nên hai bên không biết địa chỉ mạng của nhau. Máy chủ đó chuyển tiếp dữ liệu đã mã hóa và không đọc được nội dung. VPath chọn cách này cho tất cả mọi người, không phân biệt tuổi.
• Kho lưu trữ được sắp theo từng cặp học sinh và gia sư. Từ 03/09/2026, mỗi cặp có một thư mục riêng trên kho đám mây của VPath, bên trong chia thành bản ghi hình, bài test và bài làm. Chỉ đội ngũ VPath mở được kho đó; học sinh và gia sư xem qua chính website, không bao giờ nhận được đường dẫn tới kho. Đường dẫn xem lại video có hiệu lực 15 phút rồi tự hết hạn, website tự cấp lại khi bạn còn đang xem.
• Quyền micro và camera là của bạn. Trình duyệt sẽ hỏi trước khi mở, bạn tắt micro hoặc camera bất cứ lúc nào ngay trong phòng học, và mọi thiết bị được nhả ra khi bạn rời phòng. Trên máy chủ web, VPath chỉ lưu mốc thời gian vào và ra để tính vòng đời phòng học; nội dung buổi học chỉ tồn tại trong bản ghi hình nói ở trên.

Phòng học chỉ mở cho đúng hai người của buổi học đã đặt, từ 10 phút trước giờ vào lớp. Không có đường liên kết mời người ngoài. Nếu buổi học có vấn đề, hãy dùng nút Báo Cáo Buổi Học trong trang Tài Khoản trong vòng 7 ngày.

12.Người dùng nhỏ tuổi

VPath phục vụ học sinh IGCSE và A-Level, trong đó có người dưới 16 tuổi. Chúng tôi chỉ thu thập lượng dữ liệu tối thiểu cần thiết để tài khoản hoạt động, và không dùng dữ liệu cho quảng cáo nhắm chọn.

Nếu bạn là phụ huynh và muốn xem hoặc yêu cầu xóa dữ liệu của con mình, hãy liên hệ qua kênh hỗ trợ ở cuối trang.

13.Thay đổi chính sách và liên hệ

Khi chính sách được cập nhật, ngày ở đầu trang sẽ đổi theo. Với thay đổi ảnh hưởng đáng kể tới quyền của bạn, VPath sẽ thông báo rõ trên website.

Mọi câu hỏi về dữ liệu cá nhân, xin gửi qua kênh hỗ trợ ghi ở cuối trang.