Chính sách bảo mật

Bảo vệ dữ liệu người học: hồ sơ chia sẻ của tài khoản mới mặc định tắt. Các trang có thông tin cá nhân học sinh được hạn chế lập chỉ mục khi phù hợp. LOP Streak không công khai mặc định điểm, trường/lớp, lịch học, mục tiêu, hình ảnh, hoạt động, bản ghi âm, nội dung chuyển lời nói thành văn bản, nhận xét, email, điện thoại, địa chỉ, ngày sinh hoặc thông tin người giám hộ.

Quyền riêng tư của người chưa thành niên

Với người học chưa đủ tuổi theo luồng đăng ký áp dụng, hệ thống có thể ghi nhận thông tin người giám hộ, mối quan hệ, thông tin liên hệ được cung cấp, trạng thái và thời điểm đồng ý, cùng phiên bản chính sách áp dụng. Website không yêu cầu công khai CCCD hoặc giấy tờ định danh cá nhân của người vận hành hay người học.

Chia sẻ chủ động

Thông tin học tập chỉ nên được chia sẻ khi người dùng hoặc người đại diện chủ động bật/gửi liên kết và có thể dừng chia sẻ. Liên kết chia sẻ không làm email, số điện thoại hoặc dữ liệu riêng tư khác trở thành thông tin công khai mặc định.

Cập nhật: 22/08/2026. Chính sách này giải thích cách đơn vị vận hành LOP Streak/LophocOnline.net xử lý dữ liệu cá nhân để cung cấp, bảo vệ và cải thiện dịch vụ. Chính sách được xây dựng theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP có hiệu lực từ 01/01/2026; Nghị định 356/2025/NĐ-CP đã thay thế Nghị định 13/2023/NĐ-CP.

1. Nguyên tắc xử lý dữ liệu

Dữ liệu được xử lý đúng mục đích, trong phạm vi cần thiết, minh bạch và có biện pháp bảo vệ phù hợp. Khi việc xử lý dựa trên sự đồng ý, sự đồng ý phải rõ ràng, tự nguyện, có thể kiểm chứng và không coi sự im lặng là đồng ý. Đồng ý marketing/giới thiệu sản phẩm được tách khỏi điều kiện bắt buộc để tạo tài khoản khi tính năng đó được sử dụng.

2. Nhóm dữ liệu có thể được ghi nhận

• Tài khoản và liên hệ: tên hiển thị, email, số điện thoại/Zalo, tên/thông tin liên hệ cha mẹ/người giám hộ khi được cung cấp, vai trò và thông tin xác nhận đăng ký.
• Hồ sơ học tập: Learning Profile, năm học, môn, mục tiêu, lịch/reminder, Báo LOP, Streak, bài học, Quiz, Vocabulary, Practice, Assignment/Submission, điểm/kết quả, sổ điểm, đánh giá, tiến bộ và báo cáo.
• Nội dung người dùng gửi: văn bản, hình ảnh, file, audio/ghi âm, transcript và minh chứng học tập.
• Dữ liệu giao dịch: mã đơn, sản phẩm/gói, số tiền, trạng thái và dữ liệu đối soát cần thiết. LOP Streak không yêu cầu mật khẩu hoặc OTP ngân hàng.
• Dữ liệu vận hành/an ninh: ticket, phản hồi, log kỹ thuật cần thiết, thông tin trình duyệt/thiết bị, phiên đăng nhập, nguồn truy cập và tín hiệu chống spam/gian lận khi phù hợp.

3. Mục đích xử lý

Dữ liệu có thể được dùng để tạo và bảo vệ tài khoản; xác định quyền truy cập; cung cấp chức năng học tập/đồng hành/lớp học; ghi nhận và đo lường tiến bộ; vận hành AI/giọng nói khi người dùng sử dụng tính năng tương ứng; xử lý thanh toán; hỗ trợ khách hàng; phòng chống gian lận, spam và hành vi gây hại; khắc phục sự cố; bảo đảm an ninh; đáp ứng nghĩa vụ pháp luật và cải thiện dịch vụ trong phạm vi phù hợp.

4. Dữ liệu của trẻ em và người học chưa đủ 18 tuổi

• Đối với trẻ em, người đại diện theo pháp luật thay mặt thực hiện các quyền của chủ thể dữ liệu theo quy định hiện hành, trừ trường hợp pháp luật có quy định khác.
• Việc xử lý dữ liệu nhằm công bố/tiết lộ thông tin đời sống riêng tư, bí mật cá nhân của trẻ từ đủ 7 tuổi phải có sự đồng ý của trẻ và người đại diện theo pháp luật.
• Theo chính sách an toàn của LOP Streak, Học viên chưa đủ 18 tuổi cần sự biết và đồng ý của cha/mẹ/người giám hộ; với người dưới 16 tuổi, cha/mẹ/người giám hộ phải tham gia việc đăng ký hoặc quản lý tài khoản theo luồng đăng ký của nền tảng.
• Cha mẹ/người giám hộ nên hạn chế dữ liệu công khai của trẻ, quản lý liên kết chia sẻ và yêu cầu kiểm tra/chỉnh sửa/xóa dữ liệu thay cho trẻ trong phạm vi quyền đại diện.

5. AI, giọng nói và nhà cung cấp hỗ trợ xử lý

Một số chức năng có thể gửi dữ liệu cần thiết tới nhà cung cấp hạ tầng, email, chống spam, thanh toán, AI, nhận dạng/xử lý giọng nói hoặc dịch vụ kỹ thuật được cấu hình. Chỉ nên gửi phạm vi dữ liệu cần thiết cho chức năng tương ứng. Nếu có xử lý/chuyển dữ liệu ra ngoài Việt Nam, đơn vị vận hành phải thực hiện nghĩa vụ áp dụng theo pháp luật về bảo vệ dữ liệu cá nhân và các quy định liên quan.

6. Public Profile và dữ liệu được chủ động chia sẻ

Dữ liệu trong tài khoản không mặc nhiên được coi là dữ liệu công khai. Khi người dùng/người đại diện chủ động bật hoặc chia sẻ Public Profile, Progress, Mục tiêu/Lịch học hay liên kết Đồng hành, phần dữ liệu được thiết kế cho liên kết đó có thể được người nhận xem. Người dùng cần kiểm tra nội dung và dừng chia sẻ khi không còn nhu cầu.

7. Lưu trữ, xóa/hủy và an toàn dữ liệu

Dữ liệu được lưu trong thời gian cần thiết cho mục đích xử lý, vận hành dịch vụ, giải quyết tranh chấp và nghĩa vụ lưu trữ theo pháp luật. Khi không còn mục đích/căn cứ phù hợp, dữ liệu cần được xóa, hủy hoặc ẩn danh theo quy trình áp dụng, trừ trường hợp pháp luật hoặc quyền/lợi ích hợp pháp cho phép/yêu cầu tiếp tục lưu. Hệ thống áp dụng xác thực, phân quyền, kiểm soát truy cập, kiểm tra đầu vào và biện pháp kỹ thuật/vận hành phù hợp; tuy nhiên không hệ thống trực tuyến nào có thể loại bỏ tuyệt đối mọi rủi ro.

8. Quyền của chủ thể dữ liệu

Trong phạm vi pháp luật áp dụng, chủ thể dữ liệu có quyền được biết; đồng ý hoặc không đồng ý và rút lại sự đồng ý; xem/chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế hoặc phản đối xử lý; khiếu nại, tố cáo, khởi kiện và yêu cầu bảo vệ/bồi thường theo quy định. Yêu cầu có thể gửi qua Trung tâm hỗ trợ hoặc Liên hệ; hệ thống có thể cần xác minh danh tính/quyền đại diện trước khi xử lý. Việc rút lại sự đồng ý không làm ảnh hưởng tính hợp pháp của hoạt động xử lý đã thực hiện trên căn cứ hợp lệ trước thời điểm rút lại, trong phạm vi pháp luật quy định.

9. Cookie, phiên đăng nhập và đo lường

Website có thể dùng cookie/local storage hoặc cơ chế tương tự cho đăng nhập, bảo mật phiên, ghi nhớ trạng thái UI, chống gian lận và đo lường vận hành. Các cơ chế không cần thiết cho chức năng cốt lõi nên được quản lý phù hợp với căn cứ xử lý và lựa chọn của người dùng khi pháp luật yêu cầu.

10. Bảo mật tài khoản và trách nhiệm người dùng

Người dùng cần đặt mật khẩu phù hợp, không gửi mật khẩu/OTP cho người khác, không dùng chung tài khoản trái phép và thông báo sớm khi nghi ngờ bị chiếm quyền. Cha mẹ/người giám hộ cần hướng dẫn trẻ không chia sẻ dữ liệu riêng tư, thông tin liên hệ, vị trí, giấy tờ định danh hoặc nội dung nhạy cảm không cần thiết.

11. Sự cố và yêu cầu của cơ quan có thẩm quyền

Khi phát hiện vi phạm hoặc sự cố dữ liệu, đơn vị vận hành thực hiện biện pháp ngăn chặn/khắc phục và nghĩa vụ thông báo, phối hợp theo pháp luật áp dụng. Dữ liệu chỉ được cung cấp cho cơ quan có thẩm quyền khi có căn cứ và yêu cầu phù hợp pháp luật.

12. Thay đổi chính sách

Chính sách có thể được cập nhật khi dịch vụ, nhà cung cấp xử lý hoặc pháp luật thay đổi. Khi thay đổi làm phát sinh mục đích xử lý mới cần sự đồng ý, hệ thống phải thực hiện cơ chế xin/ghi nhận sự đồng ý phù hợp thay vì mặc định từ sự im lặng.

13. Khung pháp lý tham chiếu

Chính sách có tham chiếu Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, Nghị định 356/2025/NĐ-CP, Luật Trẻ em 102/2016/QH13 và Nghị định 56/2017/NĐ-CP, Luật An ninh mạng 116/2025/QH15, Luật Bảo vệ quyền lợi người tiêu dùng 19/2023/QH15 và các quy định liên quan đang có hiệu lực.