Chính sách quyền riêng tư

1. Bên kiểm soát dữ liệu

Bên kiểm soát dữ liệu cá nhân:

Alexey Morozov (OSVČ, tức cá nhân tự kinh doanh)
Na Folimance 2155/15, 120 00 Praha 2 – Vinohrady
Cộng hòa Séc
Mã doanh nghiệp (IČO): 21955409 · Mã số VAT (DIČ): CZ8405282292 (người được định danh cho mục đích VAT; không phải đối tượng nộp VAT)
Đăng ký tại Cơ quan hành chính Quận Praha 2 (Úřad městské části Praha 2)
Email: support@iqtest.quest

2. Dữ liệu cá nhân được xử lý

Dữ liệu được xử lý phụ thuộc vào cách thức sử dụng Nền tảng:

Dữ liệu phiên làm bài

Dữ liệu mua hàng

Dữ liệu kỹ thuật và bảo mật

Để bảo vệ bài kiểm tra khỏi gian lận và hành vi lạm dụng tự động, các dữ liệu sau được thu thập tự động:

Thống kê lượt truy cập

Khi một trang của trang web được mở, máy chủ ghi lại thống kê lượt truy cập mà không dùng cookie và không chạy tập lệnh trong trình duyệt: địa chỉ trang (đã loại bỏ mã định danh bài kiểm tra, kết quả, thanh toán và giấy chứng nhận), địa chỉ của trang mà khách truy cập đến từ đó, không kèm chuỗi truy vấn (đối với các trang của trang web này thì chỉ ghi chính trang web), thẻ chiến dịch của liên kết (utm_*), ngôn ngữ của trang web, ngôn ngữ chính của trình duyệt, loại thiết bị, loại trình duyệt (tác nhân người dùng), thời gian và việc trong lượt truy cập có bắt đầu hoặc hoàn thành bài kiểm tra hay thực hiện giao dịch mua hay không. Địa chỉ IP không được lưu trữ: cùng với loại trình duyệt, địa chỉ IP được chuyển thành mã khách truy cập bằng một khóa chỉ tồn tại trong ngày hiện tại và sau đó bị xóa. Không thể liên kết các mã của những ngày khác nhau, và sau khi khóa bị xóa, không thể truy ngược một mã về địa chỉ IP. Thống kê không chứa họ tên, địa chỉ email, mã định danh phiên, kết quả hoặc đơn hàng, không được dùng để xác định danh tính khách truy cập và không được tiết lộ cho bên thứ ba.

Không thu thập: họ tên (trừ tên được tự nguyện nhập cho giấy chứng nhận hoặc trong tin nhắn liên hệ), địa chỉ bưu chính, số điện thoại và số giấy tờ tùy thân. Dữ liệu thẻ thanh toán chỉ do Stripe xử lý và Nhà cung cấp dịch vụ không nhận dữ liệu này.

3. Mục đích và căn cứ pháp lý

Dữ liệu cá nhân được xử lý cho các mục đích và trên các căn cứ pháp lý sau:

• Cung cấp và chấm điểm bài kiểm tra: lợi ích hợp pháp trong việc cung cấp dịch vụ được yêu cầu (điểm f khoản 1 Điều 6 GDPR)
• Cung cấp báo cáo: thực hiện hợp đồng (điểm b khoản 1 Điều 6 GDPR)
• Phân tích và đề xuất cá nhân (Cao cấp): thực hiện hợp đồng; phân tích được mô hình Claude trong Amazon Bedrock (khu vực EU) tạo ra chỉ từ các điểm số đã được phi cá nhân hóa (Mục 5)
• Phân tích sử dụng: sự đồng ý (điểm a khoản 1 Điều 6 GDPR); Google Analytics (GA4) chỉ được tải sau khi sự đồng ý được đưa ra trong biểu ngữ cookie; sự đồng ý có thể được rút lại bất cứ lúc nào
• Phòng chống gian lận: lợi ích hợp pháp trong việc bảo vệ tính toàn vẹn của bài kiểm tra (điểm f khoản 1 Điều 6 GDPR)
• Thống kê lượt truy cập (Mục 2): lợi ích hợp pháp trong việc tìm hiểu những trang và nguồn nào đưa khách truy cập đến trang web và trong việc cải thiện trang web (điểm f khoản 1 Điều 6 GDPR). Lợi ích và quyền của khách truy cập không lấn át lợi ích này, vì không có cookie hay tập lệnh nào được sử dụng cho mục đích này, địa chỉ IP không bao giờ được lưu trữ, khóa hằng ngày làm cơ sở cho mã khách truy cập bị xóa vào cuối mỗi ngày và thống kê không được dùng để xác định danh tính khách truy cập. Không cần có sự đồng ý, vì không có thông tin nào được lưu trữ trên hoặc đọc từ thiết bị của khách truy cập (khoản 3 Điều 5 Chỉ thị 2002/58/EC). Khách truy cập có thể phản đối việc xử lý này bất cứ lúc nào (Mục 6).
• Email nhắc nhở về báo cáo chưa thanh toán: sự đồng ý được đưa ra bằng ô đánh dấu không bắt buộc tại bước thanh toán (điểm a khoản 1 Điều 6 GDPR); tối đa hai email được gửi, sau 7 và 25 ngày kể từ lần thử thanh toán, và không gửi email nào sau khi báo cáo đã được thanh toán; sự đồng ý có thể được rút lại bất cứ lúc nào bằng liên kết hủy đăng ký trong mỗi email và việc rút lại có hiệu lực ngay lập tức
• Thử nghiệm các phiên bản của trang web: một bài kiểm tra mới có thể được hiển thị một trong nhiều phiên bản của một mức giá hoặc một đoạn văn bản, được chọn ngẫu nhiên khi bài kiểm tra bắt đầu và được lưu cùng phiên làm bài; không có cookie nào được thiết lập cho mục đích này và không xây dựng hồ sơ nào về khách truy cập: lợi ích hợp pháp trong việc cải thiện dịch vụ (điểm f khoản 1 Điều 6 GDPR)
• Thuế và kế toán: quốc gia được xác định từ địa chỉ IP, địa chỉ thanh toán và, khi cần, thẻ thanh toán được sử dụng để xác định khoản thuế phải nộp đối với một giao dịch bán và việc báo cáo có được phép bán tại quốc gia đó hay không: nghĩa vụ pháp lý (điểm c khoản 1 Điều 6 GDPR)
• Trả lời các yêu cầu được gửi qua biểu mẫu liên hệ (tên nếu được cung cấp, địa chỉ email, chủ đề, mã tham chiếu đơn hàng nếu được cung cấp, nội dung tin nhắn): lợi ích hợp pháp trong việc trả lời các yêu cầu (điểm f khoản 1 Điều 6 GDPR) và, trong trường hợp liên quan đến đơn hàng, việc thực hiện hợp đồng

4. Cookie và bộ nhớ cục bộ

Nền tảng sử dụng các cookie và mục lưu trữ cục bộ sau:

Cookie thiết yếu là cần thiết cho hoạt động của Nền tảng. Cookie phân tích chỉ được thiết lập khi có sự đồng ý rõ ràng, và sự đồng ý này có thể được thay đổi trong biểu ngữ cookie bất cứ lúc nào.

Thống kê lượt truy cập được mô tả tại Mục 2 không sử dụng cookie hay bộ nhớ cục bộ và không phụ thuộc vào lựa chọn đã thực hiện trong biểu ngữ cookie.

5. Bên nhận dữ liệu

Dữ liệu cá nhân được tiết lộ cho các bên xử lý dữ liệu sau theo các thỏa thuận xử lý dữ liệu:

• Stripe (xử lý thanh toán): xử lý dữ liệu thẻ thanh toán theo Chính sách quyền riêng tư của Stripe và cung cấp cho Nhà cung cấp dịch vụ quốc gia và khu vực của địa chỉ thanh toán, cùng với quốc gia phát hành thẻ khi cần.
• Google Analytics (GA4) (phân tích việc sử dụng, chỉ khi có sự đồng ý): Google Ireland Ltd.; Chính sách quyền riêng tư của Google.
• Amazon Web Services EMEA SARL, Luxembourg (Amazon Bedrock tại một khu vực thuộc EU với mô hình Claude của Anthropic; tạo phân tích cá nhân, chỉ dành cho gói Cao cấp): nhận điểm tổng thể, bách phân vị, danh hiệu nhận thức, điểm từng khía cạnh, các mốc giới hạn của nhóm tuổi và ngôn ngữ của báo cáo, không kèm họ tên, địa chỉ email, địa chỉ IP, mã định danh phiên hoặc đơn hàng, tuổi chính xác hay câu trả lời. Dữ liệu này không xác định danh tính người làm bài kiểm tra. Dữ liệu này được xử lý tại EU và không được chuyển cho Anthropic.
• Nhà cung cấp dịch vụ lưu trữ máy chủ: cung cấp các máy chủ mà Nền tảng chạy trên đó và lưu giữ dữ liệu được mô tả trong Chính sách này.
• Sentry (Functional Software, Inc.; giám sát lỗi, nếu được bật): nhận báo cáo lỗi kỹ thuật; địa chỉ email được loại bỏ và địa chỉ IP được rút gọn trước khi gửi.

Dữ liệu cá nhân không được bán, cho thuê hoặc tiết lộ cho bên thứ ba vì mục đích tiếp thị.

Chuyển dữ liệu ra ngoài EEA

Một số bên xử lý dữ liệu có thể xử lý dữ liệu bên ngoài Khu vực Kinh tế châu Âu (EEA):

• Google, Stripe và Sentry có thể xử lý dữ liệu tại Hoa Kỳ. Việc chuyển dữ liệu này dựa trên Khung bảo vệ dữ liệu EU–Hoa Kỳ hoặc các Điều khoản hợp đồng tiêu chuẩn của Ủy ban châu Âu.

6. Quyền của chủ thể dữ liệu

Chủ thể dữ liệu có các quyền sau:

• Quyền truy cập: nhận bản sao dữ liệu cá nhân đang được xử lý
• Quyền cải chính: yêu cầu sửa dữ liệu không chính xác
• Quyền xóa dữ liệu: yêu cầu xóa dữ liệu cá nhân
• Quyền hạn chế xử lý
• Quyền di chuyển dữ liệu: nhận dữ liệu ở định dạng có cấu trúc, có thể đọc bằng máy
• Quyền phản đối việc xử lý dựa trên lợi ích hợp pháp
• Quyền rút lại sự đồng ý bất cứ lúc nào, mà không ảnh hưởng đến tính hợp pháp của việc xử lý trước đó

Yêu cầu được gửi đến support@iqtest.quest và được trả lời trong vòng một tháng (khoản 3 Điều 12 GDPR).

7. Bảo mật

Nhà cung cấp dịch vụ áp dụng các biện pháp kỹ thuật và tổ chức, bao gồm:

• kết nối được mã hóa (TLS) cho mọi dữ liệu trong quá trình truyền
• cơ sở dữ liệu có quyền truy cập hạn chế và lưu trữ mã hóa thông tin xác thực của dịch vụ
• việc xử lý thanh toán chỉ do Stripe, đơn vị được chứng nhận PCI DSS Cấp 1, thực hiện
• mã định danh phiên ngẫu nhiên thay cho tài khoản người dùng
• ghi nhật ký các thao tác của quản trị viên

8. Thời hạn lưu giữ

Dữ liệu cá nhân được lưu giữ trong các thời hạn sau và được tự động xóa hằng ngày:

• Bài kiểm tra không có thanh toán: bị xóa sau 12 tháng kể từ lần hoạt động cuối cùng; bài kiểm tra chưa hoàn thành được đóng sau 30 ngày kể từ câu trả lời cuối cùng
• Báo cáo đã thanh toán: có thể truy cập trong 24 tháng kể từ lần thanh toán cuối cùng; sau đó, câu trả lời, địa chỉ IP và dữ liệu trình duyệt, phân tích cá nhân và giấy chứng nhận bị xóa và báo cáo bị đóng; điểm số được lưu giữ cùng hồ sơ thanh toán
• Hồ sơ thanh toán: 10 năm kể từ lần thanh toán cuối cùng theo quy định của pháp luật thuế Séc; sau đó bị xóa cùng với điểm bài kiểm tra
• Dữ liệu phân tích: dữ liệu Google Analytics được lưu giữ tối đa 14 tháng
• Thống kê lượt truy cập: 24 tháng; loại trình duyệt và địa chỉ của trang mà khách truy cập đến từ đó: 90 ngày
• Tin nhắn liên hệ và nhật ký gửi email: 12 tháng
• Hồ sơ về sự đồng ý (bao gồm sự đồng ý nhận email nhắc nhở và việc rút lại sự đồng ý đó): 3 năm
• Nhật ký thao tác của quản trị viên: 3 năm; địa chỉ IP và dữ liệu trình duyệt được lưu cùng một mục nhật ký: 90 ngày
• Bản sao lưu: dữ liệu đã xóa vẫn còn trong bản sao lưu cho đến khi bản sao lưu đó hết hạn, tối đa 12 tháng; bản sao lưu chỉ được sử dụng để khôi phục dữ liệu

9. Trẻ em

Bài kiểm tra dành cho người làm bài kiểm tra từ 4 tuổi trở lên; người làm bài kiểm tra 4–8 tuổi làm bài cùng cha mẹ hoặc người giám hộ hợp pháp. Đối với người làm bài kiểm tra dưới 16 tuổi, cha mẹ hoặc người giám hộ hợp pháp xem xét Chính sách này và thay mặt người làm bài kiểm tra đồng ý với việc xử lý dữ liệu trước khi bài kiểm tra bắt đầu; xác nhận này được ghi lại cùng phiên làm bài.

Chỉ những dữ liệu cần thiết để cung cấp và chấm điểm bài kiểm tra được thu thập. Không hiển thị quảng cáo và không tạo hồ sơ tiếp thị về trẻ em. Cha mẹ hoặc người giám hộ hợp pháp có thể thay mặt trẻ thực hiện các quyền quy định tại Mục 6, bao gồm quyền xóa dữ liệu. Dữ liệu của trẻ được xử lý mà không có sự đồng ý cần thiết sẽ bị xóa khi có thông báo gửi đến support@iqtest.quest.

10. Sửa đổi

Chính sách này có thể được sửa đổi để phản ánh những thay đổi trong hoạt động xử lý dữ liệu hoặc trong pháp luật hiện hành. Những thay đổi quan trọng được thông báo trên trang web. Ngày có hiệu lực ở đầu trang cho biết phiên bản hiện hành.

11. Liên hệ

Câu hỏi liên quan đến Chính sách này và yêu cầu liên quan đến dữ liệu cá nhân:

Email: support@iqtest.quest
Địa chỉ: Na Folimance 2155/15, 120 00 Praha 2 – Vinohrady, Cộng hòa Séc

Chủ thể dữ liệu có thể khiếu nại tới Cơ quan Bảo vệ Dữ liệu Cá nhân (Úřad pro ochranu osobních údajů) hoặc tới cơ quan giám sát của quốc gia thành viên nơi chủ thể dữ liệu cư trú.