Chính Sách Bảo Mật

Focus Camp ("Nền tảng", "chúng tôi") tôn trọng và cam kết bảo vệ quyền riêng tư của bạn. Chính sách này mô tả cách chúng tôi thu thập, sử dụng, lưu trữ, chia sẻ và bảo vệ dữ liệu cá nhân khi bạn sử dụng Dịch vụ tại Focus Camp. Chính sách Bảo mật là một phần không tách rời của Điều khoản Dịch vụ.

ĐIỀU 1. Định nghĩa

• "Dữ liệu cá nhân" — mọi thông tin có thể nhận dạng trực tiếp hoặc gián tiếp một cá nhân cụ thể, bao gồm nhưng không giới hạn: tên, email, địa chỉ IP, hình ảnh.
• "Xử lý dữ liệu" — mọi thao tác thực hiện trên dữ liệu cá nhân: thu thập, ghi nhận, lưu trữ, chỉnh sửa, trích xuất, sử dụng, chia sẻ hoặc xóa.
• "Bên thứ ba" — tổ chức hoặc cá nhân ngoài Focus Camp mà chúng tôi có thể chia sẻ dữ liệu theo mục đích được nêu trong Chính sách này.
• "Cookie" — tập tin nhỏ được lưu trên trình duyệt của bạn để duy trì phiên đăng nhập hoặc ghi nhận tùy chọn sử dụng.

ĐIỀU 2. Dữ liệu thu thập

Chúng tôi thu thập các loại dữ liệu sau khi bạn sử dụng Dịch vụ:

2.1. Dữ liệu từ Google OAuth

Khi bạn đăng nhập bằng tài khoản Google, chúng tôi nhận được: email, họ tên, ảnh đại diện công khai. Chúng tôi không truy cập danh bạ, Google Drive, lịch hoặc bất kỳ dữ liệu Google nào khác.

2.2. Dữ liệu bạn cung cấp trực tiếp

• Thông tin hồ sơ: handle (tên người dùng), bio, location
• Nội dung bạn tạo: bài đăng, bình luận, phản hồi, bài nộp thử thách
• Tệp bạn tải lên: ảnh đại diện, ảnh bìa, hình ảnh đính kèm bài đăng
• Thông tin liên hệ khi gửi yêu cầu hỗ trợ

2.3. Dữ liệu thu thập tự động

• Địa chỉ IP, loại trình duyệt (user agent), hệ điều hành
• Thời gian truy cập, trang được xem, hành vi tương tác cơ bản
• Nhật ký lỗi kỹ thuật của hệ thống — chỉ phục vụ khắc phục sự cố, không chứa nội dung cá nhân

2.4. Dữ liệu thanh toán

Khi bạn thanh toán qua VietQR/SePay, chúng tôi nhận được: mã giao dịch, số tiền, thời gian giao dịch.

Cam kết: Chúng tôi KHÔNG lưu trữ số tài khoản ngân hàng, thông tin thẻ, hoặc bất kỳ dữ liệu tài chính nhạy cảm nào của bạn. Toàn bộ xử lý thanh toán do SePay đảm nhiệm.

ĐIỀU 3. Cơ sở pháp lý xử lý dữ liệu

Chúng tôi xử lý dữ liệu cá nhân của bạn dựa trên các cơ sở pháp lý sau:

• Thực hiện hợp đồng: Xử lý dữ liệu cần thiết để cung cấp Dịch vụ mà bạn đã đăng ký sử dụng (đăng nhập, quản lý cộng đồng, thanh toán, vận hành thử thách).
• Đồng ý: Khi bạn chủ động cung cấp thông tin (bio, location, nội dung đăng tải) hoặc đồng ý nhận email thông báo.
• Lợi ích hợp pháp: Phân tích dữ liệu ẩn danh để cải thiện sản phẩm, phát hiện và ngăn chặn gian lận, bảo vệ an ninh hệ thống.
• Nghĩa vụ pháp lý: Lưu trữ dữ liệu giao dịch theo yêu cầu của pháp luật Việt Nam về thương mại điện tử và kế toán.

ĐIỀU 4. Mục đích sử dụng dữ liệu

Dữ liệu cá nhân của bạn được sử dụng cho các mục đích sau:

4.1. Vận hành Dịch vụ

• Tạo và quản lý tài khoản, xác thực danh tính
• Cung cấp các tính năng cộng đồng, thử thách, marketplace
• Xử lý thanh toán và ghi nhận giao dịch

4.2. Liên lạc

• Gửi email chào mừng khi đăng ký tài khoản
• Biên nhận thanh toán và nhắc nhở gia hạn
• Thông báo thay đổi Điều khoản Dịch vụ hoặc Chính sách Bảo mật
• Phản hồi yêu cầu hỗ trợ từ bạn

4.3. An ninh & Ngăn chặn lạm dụng

• Phát hiện hoạt động bất thường, spam, gian lận
• Bảo vệ hệ thống khỏi tấn công và truy cập trái phép
• Thực thi Điều khoản Dịch vụ và nội quy cộng đồng

4.4. Cải thiện sản phẩm

Phân tích hành vi sử dụng dưới dạng ẩn danh và tổng hợp (anonymized & aggregated) để hiểu cách Dịch vụ được sử dụng và cải thiện trải nghiệm. Chúng tôi không sử dụng dữ liệu cá nhân cho mục đích quảng cáo hoặc bán cho bên thứ ba.

ĐIỀU 5. Chia sẻ dữ liệu với bên thứ ba

Nguyên tắc: Chúng tôi KHÔNG BÁN, CHO THUÊ hoặc TRAO ĐỔI dữ liệu cá nhân của bạn cho bất kỳ bên thứ ba nào vì mục đích thương mại.

5.1. Nhà cung cấp dịch vụ

Để vận hành Nền tảng, chúng tôi chia sẻ dữ liệu ở mức tối thiểu cần thiết với các nhà cung cấp dịch vụ sau: Google (xác thực đăng nhập), SePay (thanh toán), Cloudflare (lưu trữ ảnh và tệp tải lên), Resend (gửi email), Google Gemini, Anthropic và OpenAI (xử lý bằng trí tuệ nhân tạo).

Khi bạn đồng ý dùng cookie phân tích (Điều 9.3), chúng tôi còn dùng công cụ phân tích truy cập của bên thứ ba để thống kê cách Nền tảng được sử dụng.

Các nhà cung cấp này chỉ được phép xử lý dữ liệu theo đúng mục đích đã nêu và tuân thủ chính sách bảo mật riêng của họ.

5.2. Về xử lý bằng trí tuệ nhân tạo (AI)

Khi bạn nộp bài thử thách, đặt câu hỏi hoặc đăng bài trong cộng đồng có bật tính năng AI, nội dung và ảnh của bài đó được gửi tới nhà cung cấp AI để xử lý. Chúng tôi KHÔNG gửi kèm tên, email hay thông tin nhận dạng cá nhân của bạn, và Focus Camp KHÔNG dùng nội dung của bạn để huấn luyện bất kỳ mô hình AI nào. Việc nhà cung cấp có dùng dữ liệu gửi qua API cho mục đích cải thiện mô hình hay không tuân theo điều khoản API của chính họ.

Chủ cộng đồng có thể tự cấu hình nhà cung cấp AI khác (bằng khoá API riêng của họ) cho cộng đồng của mình. Khi đó, việc xử lý tuân theo chính sách bảo mật của nhà cung cấp mà chủ cộng đồng lựa chọn. Bạn có thể liên hệ chủ cộng đồng hoặc keeper@focuscamp.vn để biết cộng đồng bạn tham gia đang dùng nhà cung cấp nào.

5.3. Yêu cầu pháp lý

Chúng tôi có thể tiết lộ dữ liệu cá nhân nếu được yêu cầu bởi cơ quan nhà nước có thẩm quyền theo quy định của pháp luật Việt Nam, hoặc khi cần thiết để bảo vệ quyền lợi hợp pháp, tài sản hoặc an toàn của Focus Camp và người dùng.

5.4. Chuyển giao doanh nghiệp

Trong trường hợp sáp nhập, mua lại hoặc bán tài sản, dữ liệu cá nhân có thể được chuyển giao cho bên tiếp nhận. Chúng tôi sẽ thông báo cho bạn trước khi dữ liệu được chuyển và chịu sự chi phối của chính sách bảo mật khác.

ĐIỀU 6. Lưu trữ và xóa dữ liệu

6.1. Vị trí lưu trữ

Dữ liệu được lưu trữ trên máy chủ đặt tại Việt Nam, tuân thủ quy định pháp luật Việt Nam về an toàn thông tin mạng và bảo vệ dữ liệu cá nhân.

6.2. Thời hạn lưu trữ

• Dữ liệu tài khoản (email, tên, hồ sơ) và nội dung bạn đăng tải: trong suốt thời gian tài khoản hoạt động.
• Dữ liệu giao dịch thanh toán: tối thiểu 05 năm, theo quy định về kế toán.
• Nhật ký truy cập và nhật ký đăng nhập (IP, user agent): tối đa 12 tháng.
• Nhật ký lỗi kỹ thuật của hệ thống: tối đa 90 ngày.
• Bản sao lưu cơ sở dữ liệu: tối đa 30 ngày, sau đó tự động xóa.

6.3. Khi xóa tài khoản

Khi bạn yêu cầu xóa tài khoản:

• Dữ liệu cá nhân (profile, email, ảnh) được xóa vĩnh viễn trong vòng 30 ngày.
• Nội dung đăng tải công khai (bài đăng, bình luận) sẽ được ẩn danh hóa — tên hiển thị chuyển thành "Thành viên đã rời" và không còn liên kết với danh tính cá nhân.
• Dữ liệu giao dịch thanh toán được giữ lại theo nghĩa vụ kế toán pháp lý (tối thiểu 05 năm), nhưng các thông tin nhận dạng cá nhân trong hồ sơ giao dịch sẽ được giảm thiểu đến mức tối đa có thể.
• Bản backup chứa dữ liệu của bạn sẽ tự động xóa sau chu kỳ 30 ngày.

ĐIỀU 7. Biện pháp bảo mật

Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức hợp lý để bảo vệ dữ liệu của bạn:

7.1. Biện pháp kỹ thuật

• Mã hóa truyền tải: Toàn bộ dữ liệu truyền giữa trình duyệt và máy chủ được mã hóa bằng SSL/TLS (HTTPS).
• Mã hóa lưu trữ: Mật khẩu và token xác thực được băm (hash) bằng thuật toán mạnh, không lưu dưới dạng plaintext.
• Kiểm soát truy cập: Phân quyền nghiêm ngặt — chỉ nhân sự được ủy quyền mới truy cập được hệ thống dữ liệu, và mọi truy cập đều được ghi nhật ký.
• Sao lưu tự động: Database được sao lưu hàng ngày trên máy chủ đặt tại Việt Nam, kèm mã kiểm tra toàn vẹn (SHA-256), và xoay vòng tối đa 30 ngày.

7.2. Biện pháp tổ chức

• Đội ngũ vận hành tuân thủ quy trình bảo mật nội bộ.
• Truy cập dữ liệu người dùng chỉ thực hiện khi có lý do nghiệp vụ chính đáng (hỗ trợ kỹ thuật, xử lý vi phạm, yêu cầu pháp lý).
• Rà soát bảo mật định kỳ và cập nhật hệ thống kịp thời.

7.3. Sự cố bảo mật

Trong trường hợp xảy ra sự cố rò rỉ dữ liệu, chúng tôi cam kết:

• Thông báo cho người dùng bị ảnh hưởng qua email trong vòng 72 giờ kể từ khi phát hiện sự cố.
• Báo cáo cho cơ quan chức năng có thẩm quyền nếu pháp luật yêu cầu.
• Thực hiện các biện pháp khắc phục ngay lập tức và công bố nguyên nhân cùng kế hoạch phòng ngừa.

ĐIỀU 8. Quyền của bạn

Bạn có các quyền sau đối với dữ liệu cá nhân của mình:

8.1. Quyền truy cập và chỉnh sửa

Bạn có thể xem và chỉnh sửa thông tin hồ sơ (tên, handle, bio, location, ảnh đại diện) trực tiếp trong phần Cài đặt tài khoản trên Nền tảng bất kỳ lúc nào.

8.2. Quyền xuất dữ liệu (Data Portability)

Bạn có quyền yêu cầu xuất toàn bộ dữ liệu cá nhân của mình dưới định dạng đọc được bằng máy (JSON hoặc CSV). Gửi yêu cầu đến keeper@focuscamp.vn — chúng tôi sẽ cung cấp file trong vòng 15 ngày làm việc.

8.3. Quyền xóa dữ liệu

Bạn có quyền yêu cầu xóa tài khoản và toàn bộ dữ liệu cá nhân liên quan. Quy trình xóa được thực hiện theo Điều 6.3 của Chính sách này. Gửi yêu cầu đến keeper@focuscamp.vn.

8.4. Quyền hạn chế xử lý

Bạn có quyền yêu cầu hạn chế việc xử lý dữ liệu cá nhân trong một số trường hợp, ví dụ khi bạn cho rằng dữ liệu không chính xác hoặc việc xử lý không có cơ sở pháp lý.

8.5. Quyền phản đối

Bạn có quyền phản đối việc xử lý dữ liệu cá nhân cho mục đích phân tích và cải thiện sản phẩm (Điều 4.4). Gửi yêu cầu đến keeper@focuscamp.vn — chúng tôi sẽ ngừng xử lý dữ liệu của bạn cho mục đích đó trong vòng 07 ngày làm việc.

Thời gian phản hồi: Mọi yêu cầu liên quan đến quyền dữ liệu sẽ được xác nhận trong vòng 03 ngày làm việc và hoàn tất trong vòng 15 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ.

ĐIỀU 9. Cookie và công nghệ theo dõi

9.1. Cookie phiên đăng nhập

Chúng tôi sử dụng cookie session NextAuth để duy trì trạng thái đăng nhập của bạn. Cookie này là bắt buộc để Dịch vụ hoạt động — nếu bạn vô hiệu hóa cookie, bạn sẽ không thể đăng nhập.

9.2. Không sử dụng cookie quảng cáo

Chúng tôi KHÔNG sử dụng cookie theo dõi quảng cáo, cookie bên thứ ba cho mục đích marketing, hoặc bất kỳ công nghệ tracking nào để phục vụ quảng cáo.

9.3. Cookie phân tích (chỉ khi bạn đồng ý)

Lần đầu truy cập, Nền tảng hỏi bạn có đồng ý dùng cookie phân tích hay không. Chỉ khi bạn bấm Đồng ý, chúng tôi mới bật công cụ phân tích truy cập của bên thứ ba. Công cụ này ghi nhận trang bạn xem, thời gian xem, loại thiết bị và địa chỉ IP, giúp chúng tôi hiểu cách mọi người sử dụng Nền tảng để cải thiện trải nghiệm. Dữ liệu này không dùng cho quảng cáo.

Nếu bạn từ chối, công cụ này không được bật và Nền tảng vẫn hoạt động bình thường. Bạn có thể đổi lựa chọn bất cứ lúc nào qua mục Tùy chọn cookie ở chân trang.

9.4. Lưu trữ cục bộ (Local Storage)

Nền tảng có thể sử dụng local storage của trình duyệt để lưu tùy chọn giao diện (ví dụ: chế độ sáng/tối, ngôn ngữ) và lựa chọn của bạn về cookie phân tích. Dữ liệu này chỉ lưu trên thiết bị của bạn và không được gửi về máy chủ.

ĐIỀU 10. Bảo vệ dữ liệu trẻ em

Dịch vụ không dành cho trẻ em dưới 13 tuổi. Chúng tôi không chủ đích thu thập dữ liệu cá nhân từ trẻ em dưới 13 tuổi.

Người dùng từ 13 đến dưới 18 tuổi cần có sự đồng ý của cha/mẹ hoặc người giám hộ hợp pháp trước khi sử dụng Dịch vụ (theo quy định Google OAuth và pháp luật Việt Nam về bảo vệ trẻ em trong môi trường mạng).

Nếu chúng tôi phát hiện đã thu thập dữ liệu của trẻ em dưới 13 tuổi mà không có sự đồng ý hợp lệ, chúng tôi sẽ xóa dữ liệu đó ngay lập tức.

ĐIỀU 11. Chuyển dữ liệu xuyên biên giới

Một số nhà cung cấp dịch vụ bên thứ ba (Điều 5.1) có máy chủ đặt ngoài Việt Nam. Khi dữ liệu của bạn được xử lý bởi các nhà cung cấp này, dữ liệu có thể được chuyển ra ngoài lãnh thổ Việt Nam.

Trong trường hợp đó, chúng tôi đảm bảo:

• Chỉ chia sẻ dữ liệu ở mức tối thiểu cần thiết cho mục đích đã nêu.
• Các nhà cung cấp tuân thủ tiêu chuẩn bảo mật tương đương hoặc cao hơn quy định của Việt Nam.
• Việc chuyển dữ liệu tuân thủ Nghị định về bảo vệ dữ liệu cá nhân và các quy định liên quan.

ĐIỀU 12. Thay đổi Chính sách Bảo mật

Chúng tôi có quyền cập nhật Chính sách Bảo mật này khi cần thiết. Khi có thay đổi quan trọng, chúng tôi sẽ:

• Gửi thông báo qua email đến địa chỉ đăng ký tài khoản của bạn.
• Cập nhật ngày "Có hiệu lực" và "Cập nhật lần cuối" ở đầu trang.
• Đăng bản Chính sách mới trên Nền tảng ít nhất 15 ngày trước khi có hiệu lực.

Việc bạn tiếp tục sử dụng Dịch vụ sau khi Chính sách mới có hiệu lực đồng nghĩa với việc bạn chấp nhận các thay đổi. Nếu không đồng ý, bạn có quyền ngừng sử dụng Dịch vụ và yêu cầu xóa tài khoản.

ĐIỀU 13. Luật áp dụng

Chính sách Bảo mật này được điều chỉnh bởi pháp luật nước Cộng hòa Xã hội Chủ nghĩa Việt Nam, bao gồm nhưng không giới hạn:

• Luật An toàn thông tin mạng 2015
• Luật An ninh mạng 2018
• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân
• Các quy định khác về thương mại điện tử và bảo vệ quyền lợi người tiêu dùng

Mọi tranh chấp liên quan đến Chính sách này được giải quyết theo cơ chế quy định tại Điều khoản Dịch vụ.

ĐIỀU 14. Liên hệ

Nếu bạn có bất kỳ câu hỏi, thắc mắc hoặc yêu cầu nào liên quan đến Chính sách Bảo mật hoặc cách chúng tôi xử lý dữ liệu cá nhân, vui lòng liên hệ:

Bộ phận phụ trách dữ liệu cá nhân

Email: keeper@focuscamp.vn

Thời gian phản hồi: Trong vòng 03 ngày làm việc kể từ khi nhận được yêu cầu.

Focus Camp — Nền tảng cộng đồng challenge-first cho creator & coach

Chính sách này là một phần không tách rời của Điều khoản Dịch vụ Focus Camp.

Cập nhật lần cuối: 09/10/2026 · keeper@focuscamp.vn