Chính sách bảo mật

1. Đơn vị thu thập dữ liệu

2DM Group · Founder: Nguyễn Phúc Thịnh
Địa chỉ: PGD Lê Trọng Tấn, TP Hồ Chí Minh
Email: 2dmgroupsghn@gmail.com
Hotline: 0935 588 884

2. Dữ liệu chúng tôi thu thập

2.1 Khi anh/chị đăng ký khoá học hoặc dịch vụ:

• Họ tên · Số điện thoại · Email
• Mã giao dịch chuyển khoản
• Khoá học đã đăng ký, thời gian, số tiền
• Mã giới thiệu CTV (nếu có)

2.2 Khi anh/chị duyệt website:

• IP, vị trí (city/quốc gia gần đúng), thiết bị, trình duyệt — qua dịch vụ phân tích Microsoft Clarity, Google Analytics
• Cookie phiên đăng nhập (chỉ với admin) — httpOnly, không truy cập được từ JavaScript

2.3 KHÔNG thu thập:

• Số CCCD / CMND (trừ trường hợp đăng ký dịch vụ thẻ tín dụng cao cấp — sẽ có thông báo riêng)
• Số tài khoản ngân hàng / mật khẩu / OTP
• Sinh trắc học, tôn giáo, tình trạng sức khỏe

3. Mục đích sử dụng

• Xác nhận đăng ký, gửi tài liệu, link Zoom, lịch học
• Hỗ trợ học viên qua Zalo / email / hotline
• Gửi cập nhật về khoá học đã mua
• Cải thiện chất lượng nội dung dựa trên phản hồi (đã ẩn danh)
• Tuân thủ pháp luật khi cơ quan thẩm quyền yêu cầu

4. KHÔNG bán dữ liệu cho bên thứ ba

2DM Group cam kết không bán, cho thuê, hoặc chia sẻ dữ liệu cá nhân học viên cho bất kỳ bên thứ ba nào với mục đích thương mại.

Trường hợp duy nhất chia sẻ:

• Đối tác công nghệ: Vercel (hosting), Cloudflare (CDN), Google Workspace (email), Microsoft Clarity (analytics) — đều theo chuẩn GDPR / SOC2
• Đối tác ngân hàng: chỉ khi anh/chị tự nguyện đăng ký dịch vụ thẻ tín dụng và đồng ý cụ thể
• Cơ quan pháp luật: khi có yêu cầu chính thức bằng văn bản

5. Quyền của anh/chị

Theo Nghị định 13/2023/NĐ-CP, anh/chị có các quyền sau:

• Quyền truy cập: yêu cầu xem dữ liệu chúng tôi đang lưu
• Quyền chỉnh sửa: yêu cầu cập nhật thông tin sai lệch
• Quyền xoá: yêu cầu xoá toàn bộ dữ liệu (tài khoản, lịch sử học, đơn hàng)
• Quyền rút lại đồng ý: hủy nhận email marketing
• Quyền khiếu nại: báo cáo vi phạm tới Cục An toàn thông tin (Bộ TT&TT)

Để thực hiện các quyền trên, vui lòng email 2dmgroupsghn@gmail.com với tiêu đề [GDPR] Yêu cầu xử lý dữ liệu. Chúng tôi phản hồi trong 3 ngày làm việc.

6. Thời gian lưu trữ

• Dữ liệu khách hàng đang sử dụng dịch vụ: lưu suốt thời gian sử dụng + 12 tháng sau khi ngừng
• Dữ liệu phân tích web ẩn danh: 14 tháng (Microsoft Clarity)
• Cookie phiên: tối đa 8 giờ
• Logs hệ thống: 30 ngày

7. Bảo mật kỹ thuật

• Tất cả kết nối HTTPS + HSTS preload (max-age 2 năm)
• Mật khẩu admin scrypt-hashed, không lưu plain-text
• Session JWT httpOnly cookie, SameSite=Strict, không truy cập từ JS
• Lead form: rate limit 20 req/IP/10 phút
• Apps Script + Vercel: HMAC-SHA256 cross-service signing
• Định kỳ rotate secrets · audit log mọi admin action

8. Cookie

Chúng tôi dùng các loại cookie sau:

• Strictly necessary: session đăng nhập, CSRF token (không cần consent)
• Analytics: Microsoft Clarity (anonymized) — anh/chị có thể opt-out qua DNT browser
• Marketing: retargeting Facebook Pixel, TikTok Pixel — chỉ load khi anh/chị tương tác form

9. Trẻ em dưới 16 tuổi

Dịch vụ 2DM Group dành cho người trên 16 tuổi. Nếu anh/chị dưới 16, vui lòng ngưng sử dụng và đề nghị bố mẹ/người giám hộ liên hệ với chúng tôi.

10. Cập nhật chính sách

Chính sách này có thể được cập nhật. Phiên bản mới nhất luôn được hiển thị tại 2dm.vn/privacy với ngày sửa đổi rõ ràng. Khi có thay đổi quan trọng, chúng tôi gửi email thông báo trước 14 ngày.