Chính Sách Bảo Mật

1.Chính sách này nói về cái gì

Trang này mô tả VPath thu thập dữ liệu nào của bạn, lưu ở đâu, dùng để làm gì, chia sẻ với ai, và bạn có những quyền gì — bao gồm cả cách yêu cầu xóa tài khoản.

Chính sách áp dụng cho website vpathacademy.com và phần backend đi kèm. Dữ liệu được lưu trên máy chủ riêng (VPS) do VPath thuê, đặt tại Việt Nam.

2.Dữ liệu VPath thu thập

Bạn chủ động cung cấp:

• Tài khoản — họ tên, địa chỉ email, mật khẩu. Mật khẩu không được lưu ở dạng đọc được: hệ thống chỉ giữ chuỗi băm bcrypt, VPath không có cách nào xem lại mật khẩu của bạn.
• Yêu cầu nạp ví — số tiền, mã tham chiếu chuyển khoản (dạng VPATH-<mã người dùng>-<mã yêu cầu>), ghi chú kèm theo.
• Bài viết và bình luận trong khu Cộng Đồng, cùng tên hiển thị của bạn.
• Đánh giá khóa học — số sao và nhận xét bạn viết.
• Đặt lịch gia sư — gia sư đã chọn, ngày, giờ, thời lượng buổi học.
• File tải lên — chỉ áp dụng cho tài khoản Worker/Admin tải Past Paper lên hệ thống.

Hệ thống tự sinh ra khi bạn dùng:

• Số dư ví và lịch sử giao dịch — mỗi lần cộng/trừ tiền đều được ghi sổ kèm mô tả và thời điểm.
• Khóa học đã mua và tiến độ học — bài nào đã đánh dấu hoàn thành, phần trăm hoàn thành.
• Nhật ký máy chủ — địa chỉ IP, thời điểm và đường dẫn truy cập. Dùng để chặn dò mật khẩu và giới hạn tần suất truy cập (rate limit).
• Token đặt lại mật khẩu / xác minh email — lưu ở dạng băm, dùng một lần, tự hết hạn.

3.Phiên đăng nhập: JWT lưu trong localStorage

VPath không dùng cookie phiên. Khi bạn đăng nhập thành công, máy chủ trả về một chuỗi JWT (JSON Web Token) và trình duyệt lưu chuỗi đó trong localStorage dưới khóa vpath_token. Mỗi lần gọi API, trình duyệt gửi kèm chuỗi này để máy chủ biết bạn là ai.

Chúng tôi nói rõ điều này vì nó có hệ quả thật, cả tốt lẫn xấu:

• Token không tự gửi kèm mọi request như cookie, nên VPath không bị nhóm tấn công CSRF.
• Nhưng token đọc được bằng JavaScript. Nếu website dính lỗ hổng XSS, hoặc bạn dán mã lạ vào console trình duyệt, token có thể bị lấy cắp và dùng để đăng nhập thay bạn.
• Token nằm trong trình duyệt cho tới khi hết hạn hoặc bạn bấm Đăng Xuất. Trên máy tính dùng chung, hãy luôn Đăng Xuất thay vì chỉ đóng tab.
• Thời hạn phiên: mặc định 24 giờ; tích "Ghi nhớ đăng nhập" thì 30 ngày; tài khoản quản trị luôn 8 giờ, không kéo dài được.

Ngoài token, VPath còn lưu trong trình duyệt vài tùy chọn hiển thị nhỏ (ví dụ giỏ hàng tạm). Không có cookie theo dõi, không có pixel quảng cáo.

4.VPath dùng dữ liệu để làm gì

• Cho bạn đăng nhập và giữ phiên làm việc.
• Cấp quyền truy cập đúng khóa học bạn đã mua, và ghi lại tiến độ học.
• Xử lý nạp ví: đối chiếu mã tham chiếu với sao kê ngân hàng rồi cộng tiền.
• Gửi email chức năng: xác minh địa chỉ email, đặt lại mật khẩu. VPath không gửi email quảng cáo.
• Vận hành khu Cộng Đồng và hiển thị đánh giá khóa học kèm tên người viết.
• Bảo vệ hệ thống: phát hiện đăng nhập bất thường, chặn spam, giới hạn tần suất truy cập.

VPath không bán, không cho thuê, không trao đổi dữ liệu cá nhân của bạn với bất kỳ ai vì mục đích thương mại.

5.Bên thứ ba chạm tới dữ liệu của bạn

Website tải một số thư viện và tài nguyên từ máy chủ bên ngoài. Khi trình duyệt của bạn tải chúng, các dịch vụ đó nhìn thấy địa chỉ IP và loại trình duyệt của bạn. VPath liệt kê đầy đủ ở đây để bạn biết chính xác:

• Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — phông chữ Plus Jakarta Sans.
• cdnjs / Cloudflare — bộ icon Font Awesome.
• unpkg — thư viện giao diện Vue.
• DiceBear (api.dicebear.com) — sinh ảnh đại diện mặc định từ email của bạn. Email được băm thành một chuỗi trong đường dẫn ảnh.
• Unsplash — một số ảnh minh họa khóa học.
• Nhà cung cấp gửi email — khi được cấu hình, địa chỉ email của bạn được chuyển cho dịch vụ này để gửi thư xác minh / đặt lại mật khẩu.

6.Lưu trong bao lâu

• Tài khoản và dữ liệu học tập — lưu chừng nào tài khoản còn tồn tại.
• Lịch sử giao dịch ví — giữ lại kể cả sau khi tài khoản bị xóa, ở dạng đã gỡ bỏ danh tính, vì đây là sổ sách tài chính cần đối chiếu.
• Token đặt lại mật khẩu — hết hạn sau 60 phút, dùng một lần.
• Nhật ký máy chủ — xoay vòng và tự xóa sau một thời gian ngắn.

7.Quyền của bạn

• Xem — trang Tài Khoản hiển thị hồ sơ, số dư ví, lịch sử giao dịch, khóa học và tiến độ của bạn.
• Sửa — bạn tự sửa được họ tên; đổi email hoặc mật khẩu qua chức năng tương ứng.
• Xóa bài viết — bạn có thể xóa bài và bình luận của mình trong khu Cộng Đồng.
• Rút lại yêu cầu nạp ví — yêu cầu đang chờ duyệt thì bạn tự hủy được.
• Yêu cầu xóa tài khoản — xem mục kế tiếp.

8.Yêu cầu xóa tài khoản

Vào trang Tài Khoản, kéo xuống mục "Xóa tài khoản", ghi lý do (không bắt buộc) và gửi yêu cầu. Yêu cầu chuyển tới quản trị viên VPath.

Vì sao không xóa ngay lập tức: tài khoản có thể còn số dư ví chưa dùng, còn khóa học đã trả tiền, hoặc còn giao dịch đang chờ đối chiếu. Quản trị viên cần kiểm tra và xử lý phần tiền trước khi xóa, để bạn không mất tiền một cách âm thầm.

Khi yêu cầu được duyệt, những dữ liệu sau bị xóa vĩnh viễn:

• Hồ sơ tài khoản: họ tên, email, chuỗi băm mật khẩu.
• Khóa học đã đăng ký và toàn bộ tiến độ học.
• Đánh giá khóa học, bài viết và bình luận trong Cộng Đồng.
• Lịch đặt gia sư và các yêu cầu nạp ví.

Cái được giữ lại: các dòng sổ sách kế toán bắt buộc, ở dạng đã tách khỏi danh tính của bạn. Đây là hồ sơ tài chính, không dùng để nhận diện lại bạn.

9.VPath bảo vệ dữ liệu thế nào

• Mật khẩu băm bằng bcrypt, không lưu bản gốc.
• Toàn bộ website chạy qua HTTPS (chứng chỉ Let's Encrypt); truy cập HTTP bị chuyển hướng sang HTTPS.
• Máy chủ gửi kèm các header bảo mật: HSTS, X-Content-Type-Options, Referrer-Policy, X-Frame-Options, Permissions-Policy.
• Giới hạn tần suất (rate limit) trên các đường dẫn nhạy cảm: đăng nhập, ví, mua hàng, đặt gia sư, đăng bài, tải file.
• Mọi thao tác trừ tiền chạy trong transaction có khóa dòng, không thể bị trừ trùng hoặc tiêu quá số dư.
• Database chỉ mở cho máy chủ ứng dụng, không mở ra Internet. Backup được tạo định kỳ.

Không hệ thống nào an toàn tuyệt đối. Nếu xảy ra sự cố rò rỉ dữ liệu ảnh hưởng tới bạn, VPath sẽ thông báo qua email đăng ký và trên website.

10.Người dùng nhỏ tuổi

VPath phục vụ học sinh IGCSE và A-Level, trong đó có người dưới 16 tuổi. Chúng tôi chỉ thu thập lượng dữ liệu tối thiểu cần thiết để tài khoản hoạt động, và không dùng dữ liệu cho quảng cáo nhắm chọn.

Nếu bạn là phụ huynh và muốn xem hoặc yêu cầu xóa dữ liệu của con mình, hãy liên hệ qua kênh hỗ trợ ở cuối trang.

11.Thay đổi chính sách và liên hệ

Khi chính sách được cập nhật, ngày ở đầu trang sẽ đổi theo. Với thay đổi ảnh hưởng đáng kể tới quyền của bạn, VPath sẽ thông báo rõ trên website.

Mọi câu hỏi về dữ liệu cá nhân, xin gửi qua kênh hỗ trợ ghi ở cuối trang.