Chính sách Quyền riêng tư (Privacy Policy)

1) Phạm vi áp dụng

Chính sách này cho bạn biết Galac School (“chúng tôi”) thu thập, sử dụng, lưu trữ, chia sẻ và bảo vệ dữ liệu cá nhân như thế nào khi bạn sử dụng website https://galac.app, ứng dụng Galac School (iOS/Android), Trang quản trị, ứng dụng thương hiệu riêng của trường và khi bạn liên hệ với chúng tôi qua điện thoại, Zalo hoặc Facebook Messenger (gọi chung là “Dịch vụ”).

Chính sách này là một phần của Điều khoản & Chính sách sử dụng và là thông báo xử lý dữ liệu cá nhân gửi tới bạn theo pháp luật về bảo vệ dữ liệu cá nhân.

Tính năng được cung cấp hiện nay gồm: hồ sơ trường công khai kèm đánh giá từ Google Maps; thông báo, ảnh, album, reels, tin tức; danh sách học sinh; điểm danh (có thể tích hợp máy điểm danh của trường); quản lý học phí và thanh toán trực tuyến qua các nền tảng thanh toán bên thứ ba; trường tự đăng ký và nhận hồ sơ. Trợ lý AI cho giáo viên đang trong kế hoạch phát triển và chưa xử lý dữ liệu nào. Trước khi ra mắt, chúng tôi sẽ cập nhật chính sách này và hỏi sự đồng ý khi pháp luật yêu cầu.

2) Vai trò: Nhà trường & Galac School

Galac School là bên kiểm soát và xử lý dữ liệu cá nhân (tự quyết định và tự xử lý) đối với:

• Tài khoản bạn tự đăng ký trên ứng dụng Galac School (ví dụ: phụ huynh tìm trường, lưu trường yêu thích).
• Thông tin người gửi yêu cầu đăng ký trường, nhận quản lý hồ sơ trường (“Bạn là chủ trường?”) và thông tin xác minh để cấp tick xanh.
• Hồ sơ trường công khai do Galac School lập từ nguồn công khai trước khi nhà trường nhận quản lý.
• Dữ liệu truy cập website https://galac.app (Google Analytics), tin nhắn và cuộc gọi bạn gửi tới Galac School qua điện thoại, Zalo, Messenger.
• Nhật ký hệ thống phục vụ bảo đảm an ninh mạng và khắc phục sự cố.

Các nền tảng như Apple, Google (App Store, Google Play, Google Maps, Google Analytics), Zalo, Meta (Facebook, Messenger) và tổ chức cung ứng dịch vụ thanh toán xử lý dữ liệu của bạn theo chính sách riêng của họ khi bạn dùng dịch vụ của họ.

3) Dữ liệu chúng tôi có thể thu thập

3.1 Dữ liệu do nhà trường cung cấp hoặc tạo ra trên hệ thống

• Học sinh: họ tên, ngày sinh, giới tính, lớp, chi nhánh, ảnh đại diện (nếu nhà trường dùng), mối quan hệ với tài khoản phụ huynh.
• Phụ huynh, người giám hộ: họ tên, số điện thoại, email, quan hệ với học sinh.
• Giáo viên, nhân viên, quản trị viên: họ tên, số điện thoại, email, vai trò, lớp phụ trách.
• Nội dung: thông báo (kèm trạng thái đã gửi, đã đọc), tin tức, ảnh, album, reels; ảnh và video có thể chứa hình ảnh của trẻ em.
• Điểm danh: ngày, giờ đến, giờ về, trạng thái có mặt, vắng, ghi chú. Khi tích hợp máy điểm danh, Galac School chỉ nhận kết quả điểm danh (mã người dùng, thời điểm); không nhận, không lưu mẫu vân tay, khuôn mặt hay dữ liệu sinh trắc học khác.
• Học phí và các khoản phí: khoản thu, kỳ thu, số tiền, hạn nộp, trạng thái thanh toán, mã giao dịch và biên nhận do tổ chức thanh toán trả về. Galac School không lưu số thẻ, mã bảo mật thẻ, mật khẩu hay thông tin đăng nhập ngân hàng.

3.2 Dữ liệu bạn cung cấp trực tiếp cho Galac School

• Thông tin tài khoản ứng dụng Galac School: họ tên, số điện thoại hoặc email, mật khẩu (được lưu dưới dạng mã hóa một chiều), trường quan tâm.
• Thông tin đăng ký trường, nhận hồ sơ: họ tên, chức vụ, số điện thoại, email của người đại diện; thông tin và giấy tờ chứng minh quyền đại diện cho trường mà chúng tôi yêu cầu để xác minh.
• Nội dung bạn gửi khi liên hệ, yêu cầu hỗ trợ, báo cáo vi phạm qua điện thoại, Zalo, Messenger.

3.3 Dữ liệu từ nguồn công khai và bên thứ ba

• Hồ sơ trường: thông tin về tổ chức (tên, địa chỉ, loại hình, liên hệ chung, logo, hình ảnh cơ sở vật chất) từ danh bạ trường học, website và trang Facebook công khai của trường. Chúng tôi không chủ động thu thập hình ảnh nhận diện được trẻ em từ các nguồn này.
• Đánh giá Google Maps: tên hiển thị, ảnh đại diện, nội dung và điểm đánh giá của người dùng Google Maps, được hiển thị theo điều khoản của Google.

3.4 Dữ liệu kỹ thuật & nhật ký (log)

• Thiết bị và ứng dụng: loại thiết bị, hệ điều hành, phiên bản ứng dụng, ngôn ngữ, mã thông báo đẩy (push token).
• Nhật ký truy cập: thời điểm đăng nhập, thao tác chính, địa chỉ IP, lỗi ứng dụng, nhằm bảo đảm an ninh và khắc phục sự cố.
• Dữ liệu truy cập website https://galac.app qua Google Analytics (xem mục 12).

4) Mục đích sử dụng dữ liệu

• Cung cấp Dịch vụ: tạo và quản lý tài khoản; liên kết phụ huynh với học sinh và lớp; gửi thông báo, ảnh, album, reels, tin tức tới đúng người nhận; ghi nhận điểm danh; quản lý khoản thu và hiển thị trạng thái thanh toán.
• Hồ sơ trường công khai: giúp phụ huynh tìm và tìm hiểu trường; xác minh người nhận quản lý hồ sơ và cấp tick xanh.
• Hỗ trợ và giải quyết khiếu nại: trả lời câu hỏi, khắc phục lỗi, xử lý yêu cầu về dữ liệu, báo cáo vi phạm.
• An ninh, an toàn: phát hiện và ngăn chặn truy cập trái phép, gian lận, tấn công mạng; thực hiện nghĩa vụ theo pháp luật về an ninh mạng.
• Cải thiện sản phẩm: thống kê ở mức tổng hợp. Số liệu tổng hợp đã khử nhận dạng, không còn xác định được một người cụ thể, không còn là dữ liệu cá nhân và có thể được Galac School sử dụng để vận hành, cải tiến và phát triển sản phẩm.
• Tuân thủ pháp luật: đáp ứng yêu cầu hợp lệ của cơ quan nhà nước có thẩm quyền.

Chúng tôi không dùng dữ liệu học sinh, phụ huynh do nhà trường cung cấp cho mục đích riêng của Galac School, không dùng để quảng cáo, tiếp thị và không lập hồ sơ hành vi của trẻ em. Việc gửi tin giới thiệu sản phẩm, nếu có, chỉ thực hiện với người lớn đã đồng ý riêng và có thể từ chối bất cứ lúc nào. Khi cần dùng dữ liệu cho mục đích mới, chúng tôi sẽ thông báo và hỏi lại sự đồng ý khi pháp luật yêu cầu.

5) Cơ sở xử lý dữ liệu

Tùy từng hoạt động, việc xử lý dựa trên một hoặc nhiều cơ sở sau theo Luật Bảo vệ dữ liệu cá nhân:

• Sự đồng ý của bạn: sự đồng ý phải tự nguyện, rõ ràng, cho từng mục đích, được thể hiện bằng hành động khẳng định (ví dụ: đánh dấu ô đồng ý) và có thể kiểm chứng. Im lặng, không phản hồi hoặc ô được đánh dấu sẵn không được coi là đồng ý. Bạn có thể rút lại sự đồng ý bất cứ lúc nào; việc rút lại không ảnh hưởng đến tính hợp pháp của việc xử lý đã thực hiện trước đó.
• Thực hiện thỏa thuận giữa bạn với Galac School (ví dụ: tài khoản ứng dụng) hoặc giữa bạn với nhà trường, theo quy định của pháp luật.
• Thực hiện nghĩa vụ theo quy định của pháp luật, gồm nghĩa vụ về an ninh mạng, và yêu cầu hợp lệ của cơ quan nhà nước có thẩm quyền.
• Trường hợp cấp bách để bảo vệ tính mạng, sức khỏe, danh dự, quyền và lợi ích hợp pháp của bạn hoặc người khác.

Với dữ liệu trong hệ thống của nhà trường, nhà trường (bên kiểm soát) xác định cơ sở xử lý và chịu trách nhiệm thông báo, lấy sự đồng ý của phụ huynh khi cần. Nhà trường tự tổ chức việc thông báo và ghi nhận sự đồng ý (ví dụ đồng ý cho đăng ảnh của trẻ lên album, reels hoặc hồ sơ công khai) và lưu bằng chứng; Galac School có thể cung cấp công cụ hỗ trợ trên Trang quản trị.

6) Chia sẻ dữ liệu

Chúng tôi chỉ chia sẻ dữ liệu trong phạm vi cần thiết, trong các trường hợp sau:

• Trong phạm vi nhà trường: theo phân quyền do nhà trường cấu hình (quản trị viên, giáo viên, phụ huynh của đúng lớp, đúng học sinh).
• Nhà cung cấp dịch vụ cho Galac School (bên xử lý dữ liệu thay mặt chúng tôi): máy chủ, lưu trữ đám mây, gửi thông báo đẩy (Apple Push Notification, Firebase Cloud Messaging), gửi email, SMS, giám sát lỗi. Các bên này chỉ xử lý theo hợp đồng, theo chỉ dẫn của chúng tôi và có nghĩa vụ bảo mật.
• Tổ chức cung ứng dịch vụ thanh toán: khi phụ huynh thanh toán học phí trực tuyến, thông tin cần thiết cho giao dịch (khoản thu, số tiền, mã tham chiếu) được chuyển tới tổ chức thanh toán do nhà trường lựa chọn; việc thanh toán do tổ chức đó xử lý theo chính sách của họ.
• Nền tảng phát hành: Apple, Google (cửa hàng ứng dụng), Google Maps, Meta (khi bạn nhắn tin qua Messenger).
• Cơ quan nhà nước có thẩm quyền: khi có yêu cầu hợp lệ theo quy định của pháp luật.
• Khi tổ chức lại hoạt động (ví dụ chuyển giao Dịch vụ cho một pháp nhân): chỉ khi bảo đảm bên nhận tiếp tục bảo vệ dữ liệu theo chính sách này và pháp luật, và sau khi đã thông báo cho bạn.

Chúng tôi không mua, bán dữ liệu cá nhân dưới bất kỳ hình thức nào.

7) Thời hạn lưu trữ

Dữ liệu chỉ được lưu trong thời gian cần thiết cho mục đích xử lý, trừ khi pháp luật yêu cầu lưu lâu hơn:

• Dữ liệu của nhà trường (học sinh, lớp, điểm danh, thông báo, nội dung, học phí): trong thời gian nhà trường sử dụng Dịch vụ và theo thỏa thuận với nhà trường. Khi chấm dứt, chúng tôi trả lại dữ liệu cho nhà trường nếu được yêu cầu, sau đó xóa trong vòng 30 ngày, trừ dữ liệu pháp luật buộc phải lưu giữ.
• Học sinh rời trường, phụ huynh không còn liên kết: nhà trường quyết định thời điểm xóa hoặc lưu trữ; tài khoản phụ huynh không còn liên kết với học sinh nào sẽ không còn quyền xem nội dung của lớp.
• Tài khoản ứng dụng Galac School: đến khi bạn yêu cầu xóa; tài khoản không hoạt động liên tục 24 tháng có thể bị xóa sau khi thông báo trước.
• Thông tin xác minh chủ trường: trong thời gian trường được quản lý trên Galac School và tối đa 12 tháng sau khi chấm dứt, để giải quyết tranh chấp về quyền quản lý hồ sơ.
• Tin nhắn hỗ trợ, khiếu nại, hồ sơ giao dịch với nhà trường và bằng chứng chấp nhận điều khoản: tối đa 03 năm kể từ khi giải quyết xong hoặc chấm dứt giao dịch, tương ứng thời hiệu khởi kiện về hợp đồng, để bảo vệ quyền và lợi ích hợp pháp của các bên khi có tranh chấp; chỉ những người có thẩm quyền được truy cập.
• Nhật ký hệ thống và dữ liệu tài khoản thuộc diện lưu trữ theo pháp luật về an ninh mạng: trong thời hạn tối thiểu mà pháp luật về an ninh mạng quy định, và có thể lâu hơn khi cần cho điều tra sự cố hoặc giải quyết tranh chấp.
• Bằng chứng về sự đồng ý và hồ sơ sự cố: trong thời hạn pháp luật yêu cầu để chứng minh việc tuân thủ.
• Bản sao lưu: dữ liệu đã xóa có thể còn trong bản sao lưu tối đa 35 ngày trước khi bị ghi đè.

8) Bảo mật dữ liệu

Chúng tôi áp dụng các biện pháp quản lý và kỹ thuật phù hợp với mức độ rủi ro, gồm:

• Phân quyền theo vai trò và nguyên tắc quyền tối thiểu; tách dữ liệu giữa các trường; phụ huynh chỉ xem nội dung của lớp, học sinh được liên kết.
• Mã hóa khi truyền (HTTPS/TLS); lưu mật khẩu dưới dạng mã hóa một chiều; bảo vệ dữ liệu trên hạ tầng lưu trữ.
• Giới hạn nhân sự được truy cập dữ liệu học sinh; nhân sự có cam kết bảo mật; ghi nhật ký truy cập quản trị.
• Giám sát, sao lưu định kỳ và quy trình ứng phó sự cố.

Không có hệ thống nào an toàn tuyệt đối. Bạn cũng cần giữ bí mật mật khẩu, mã xác thực và thiết bị đăng nhập của mình.

9) Quyền của bạn

Theo Luật Bảo vệ dữ liệu cá nhân, bạn có quyền:

• Được biết về hoạt động xử lý dữ liệu cá nhân của mình.
• Đồng ý hoặc không đồng ý; yêu cầu rút lại sự đồng ý.
• Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu.
• Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu; phản đối việc xử lý.
• Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định của pháp luật.
• Yêu cầu cơ quan có thẩm quyền hoặc bên liên quan thực hiện biện pháp bảo vệ dữ liệu cá nhân của mình.

Bạn cũng có nghĩa vụ tự bảo vệ dữ liệu của mình, tôn trọng dữ liệu cá nhân của người khác (đặc biệt là hình ảnh của trẻ em khác trong lớp) và cung cấp dữ liệu chính xác.

Nếu không đồng ý với kết quả giải quyết, bạn có thể gửi phản ánh tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an, cơ quan quản lý nhà nước về bảo vệ quyền lợi người tiêu dùng hoặc khởi kiện tại Tòa án theo quy định của pháp luật.

10) Dữ liệu của trẻ em

Galac School phục vụ trường mầm non, tiểu học và các trường khác, nên xử lý dữ liệu của trẻ em (người dưới 16 tuổi). Chúng tôi áp dụng các nguyên tắc sau:

• Trẻ em không tự đăng ký tài khoản. Tài khoản phụ huynh do cha, mẹ hoặc người giám hộ sử dụng. Cha mẹ, người giám hộ là người đại diện theo pháp luật thực hiện các quyền về dữ liệu thay cho trẻ.
• Sự đồng ý. Việc xử lý dữ liệu của trẻ cần sự đồng ý của cha mẹ hoặc người giám hộ, trừ trường hợp pháp luật cho phép xử lý không cần sự đồng ý. Việc công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ từ đủ 07 tuổi trở lên cần thêm sự đồng ý của chính trẻ. Việc sử dụng hình ảnh của một người phải được người đó đồng ý; với trẻ em, sự đồng ý do cha mẹ hoặc người giám hộ (người đại diện theo pháp luật) thực hiện thay. Sử dụng hình ảnh vì mục đích thương mại phải trả thù lao cho người có hình ảnh, trừ khi các bên có thỏa thuận khác.
• Hiển thị mặc định khép kín. Ảnh, album, reels, thông báo và điểm danh của một lớp chỉ hiển thị cho phụ huynh, giáo viên và quản trị viên được nhà trường cấp quyền.
• Nội dung công khai. Nhà trường chỉ đăng ảnh, video nhận diện được trẻ lên hồ sơ trường công khai, tin tức công khai hoặc ứng dụng thương hiệu riêng ở chế độ công khai khi đã có sự đồng ý nêu trên. Galac School không dùng hình ảnh của trẻ để quảng cáo Dịch vụ nếu không có sự đồng ý riêng bằng văn bản.
• Không quảng cáo, không lập hồ sơ hành vi đối với trẻ em; không bán hay cho thuê dữ liệu của trẻ.
• Gỡ bỏ nhanh. Cha mẹ, người giám hộ hoặc trẻ từ đủ 07 tuổi có quyền yêu cầu gỡ thông tin riêng tư của trẻ. Khi có dấu hiệu xâm phạm quyền trẻ em, chúng tôi tạm ẩn nội dung ngay, thông báo cho nhà trường và xử lý theo thời hạn tại mục 9.
• Ngừng xử lý khi người đã đồng ý rút lại sự đồng ý, hoặc khi cơ quan có thẩm quyền yêu cầu, trừ trường hợp pháp luật có quy định khác.

Nếu bạn là phụ huynh và có lo ngại về dữ liệu của con mình, hãy liên hệ nhà trường hoặc Galac School theo mục Liên hệ.

11) Chuyển dữ liệu ra nước ngoài

Một số dịch vụ chúng tôi sử dụng có máy chủ hoặc được vận hành ở ngoài Việt Nam, nên dữ liệu có thể được chuyển, lưu trữ hoặc xử lý ở nước ngoài, gồm:

• Hạ tầng máy chủ, lưu trữ đám mây và dịch vụ gửi thông báo đẩy của Galac School;
• Google Analytics (Google), Google Maps, Firebase Cloud Messaging;
• Apple (App Store, Apple Push Notification);
• Meta (Facebook, Messenger) khi bạn nhắn tin cho Galac School.

Khi chuyển dữ liệu ra nước ngoài, chúng tôi lập và lưu hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo quy định, có thỏa thuận ràng buộc bên nhận bảo vệ dữ liệu, và áp dụng biện pháp bảo vệ phù hợp (mã hóa khi truyền, kiểm soát truy cập, hạn chế dữ liệu ở mức cần thiết). Việc lưu trữ dữ liệu tại Việt Nam được thực hiện khi pháp luật về an ninh mạng yêu cầu.

12) Cookies & công nghệ theo dõi

• Cookies, lưu trữ cục bộ cần thiết (Trang quản trị): duy trì phiên đăng nhập, ghi nhớ lựa chọn, bảo mật. Không thể tắt nếu muốn dùng chức năng đăng nhập.
• Google Analytics 4 trên website https://galac.app (mã đo lường G-9ZL7X6WTQ6): đếm lượt xem trang, nguồn truy cập, loại thiết bị, khu vực ước tính và lượt nhấn nút Zalo, Messenger. Google Analytics dùng cookies (ví dụ _ga). Chúng tôi không dùng Google Analytics để quảng cáo, không gửi họ tên, số điện thoại hay dữ liệu của trẻ em cho Google Analytics, và chỉ xem báo cáo ở mức tổng hợp. Google Analytics chỉ được bật sau khi bạn đồng ý qua thông báo cookie trên website; bạn có thể thay đổi lựa chọn bất cứ lúc nào.
• Nút Zalo, Messenger: khi bạn nhấn, bạn được chuyển sang Zalo hoặc Facebook Messenger; dữ liệu trao đổi ở đó do Zalo, Meta xử lý theo chính sách của họ. Trang của chúng tôi không nhúng mã theo dõi của Meta.

Bạn cũng có thể chặn hoặc xóa cookies qua cài đặt trình duyệt, hoặc dùng tiện ích chặn Google Analytics do Google cung cấp. Một số chức năng có thể không hoạt động nếu tắt cookies cần thiết.

13) Thay đổi chính sách

• Chúng tôi có thể cập nhật chính sách này khi sản phẩm (ví dụ: ra mắt Trợ lý AI), quy trình vận hành hoặc pháp luật thay đổi. Phiên bản mới được đăng tại trang này kèm ngày áp dụng.
• Với thay đổi quan trọng (mục đích xử lý mới, loại dữ liệu mới, bên nhận mới), chúng tôi thông báo trong ứng dụng hoặc qua kênh liên lạc bạn đã đăng ký ít nhất 15 ngày trước ngày áp dụng, và hỏi lại sự đồng ý khi pháp luật yêu cầu. Việc bạn chỉ tiếp tục sử dụng Dịch vụ không được coi là đồng ý.

14) Liên hệ

Nếu bạn có câu hỏi hoặc yêu cầu liên quan đến quyền riêng tư, vui lòng liên hệ:

Nếu bạn sử dụng Galac School thông qua trường học/trung tâm, vui lòng ưu tiên liên hệ bộ phận quản trị của đơn vị đó để được xử lý nhanh nhất.

15) Căn cứ pháp lý chính

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026): Điều 2 (bên kiểm soát, bên xử lý), Điều 4 (quyền, nghĩa vụ của chủ thể dữ liệu), Điều 9 (sự đồng ý), Điều 19 (xử lý không cần sự đồng ý), Điều 20 (chuyển dữ liệu xuyên biên giới), Điều 21, Điều 22 (đánh giá tác động), Điều 23 (thông báo vi phạm), Điều 24 (dữ liệu của trẻ em), Điều 37 (trách nhiệm các bên), Điều 39 (chuyển tiếp).
• Nghị định số 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân (hiệu lực từ 01/01/2026, thay thế Nghị định số 13/2023/NĐ-CP): Điều 5 (thời hạn thực hiện yêu cầu của chủ thể dữ liệu).
• Bộ luật Dân sự số 91/2015/QH13: Điều 32 (quyền đối với hình ảnh), Điều 38 (quyền về đời sống riêng tư, bí mật cá nhân, bí mật gia đình), Điều 429 (thời hiệu khởi kiện về hợp đồng).
• Luật Trẻ em số 102/2016/QH13: Điều 1 (trẻ em là người dưới 16 tuổi), Điều 6 khoản 11, Điều 21; Nghị định số 56/2017/NĐ-CP: Điều 33, Điều 36.
• Luật An ninh mạng số 116/2025/QH15 (hiệu lực từ 01/7/2026): Điều 16 (phòng, chống xâm hại trẻ em trên không gian mạng), Điều 25 (bảo đảm an ninh thông tin mạng, lưu trữ dữ liệu); Nghị định số 333/2026/NĐ-CP.
• Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15: Điều 15 đến Điều 20 (bảo vệ thông tin của người tiêu dùng), Điều 25 (không buộc đồng ý thu thập thông tin làm điều kiện giao kết).
• Luật Thương mại điện tử số 122/2025/QH15: Điều 11 (công khai chính sách bảo mật); Nghị định số 248/2026/NĐ-CP.
• Luật Giao dịch điện tử số 20/2023/QH15; Luật Giáo dục số 43/2019/QH14, được sửa đổi, bổ sung bởi Luật số 123/2025/QH15.