Chính sách quyền riêng tư

Chính sách này quy định về dữ liệu cá nhân mà CÔNG TY TNHH CÔNG NGHỆ KMON (“Senha”) thu thập và xử lý với tư cách Bên Kiểm soát dữ liệu cá nhân, theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.

Phạm vi áp dụng#

Áp dụng đối với: người mở tài khoản Senha — chủ cơ sở, quản lý, nhân viên đăng nhập vào phần mềm; học viên của Học viện Senha tại learning.senha.vn; và người truy cập website senha.vn.

Một người có thể vừa là người dùng phần mềm vừa là học viên. Khi đó hai nơi dùng chung một tài khoản đăng nhập, và Chính sách này áp dụng cho cả hai.

Không áp dụng đối với: khách hàng của cơ sở kinh doanh sử dụng Senha. Đối với dữ liệu đó, cơ sở kinh doanh là Bên Kiểm soát, Senha chỉ là Bên Xử lý theo yêu cầu của họ. Quan hệ này được quy định tại Phụ lục xử lý dữ liệu cá nhân. Trường hợp Quý khách là khách hàng của một cơ sở sử dụng Senha và muốn thực hiện quyền của mình, vui lòng liên hệ trực tiếp với cơ sở đó; Senha hỗ trợ họ đáp ứng yêu cầu của Quý khách.

Điều 1. Dữ liệu được thu thập#

1.1. Khi mở tài khoản

• Địa chỉ thư điện tử, và trạng thái đã xác minh
• Số điện thoại, nếu được sử dụng để đăng nhập
• Họ và tên
• Mật khẩu — lưu dưới dạng băm Argon2id; Senha không đọc được mật khẩu
• Mã xác minh gửi qua thư điện tử, lưu dưới dạng băm

1.2. Khi đăng nhập bằng Google hoặc Facebook

• Mã định danh tài khoản tại Google hoặc Facebook
• Địa chỉ thư điện tử và họ tên do nhà cung cấp đó chia sẻ, cùng thông tin địa chỉ đã được xác minh hay chưa

1.3. Khi sử dụng phần mềm

• Địa chỉ IP và thông tin trình duyệt, thiết bị gắn với mỗi phiên đăng nhập, phục vụ bảo đảm an toàn phiên và phát hiện đăng nhập bất thường.
• Nhật ký thao tác trong phần mềm: người thực hiện, nội dung và thời điểm. Đây là yêu cầu nghiệp vụ — chủ cơ sở cần biết ai đã sửa lịch hẹn hoặc thực hiện hoàn tiền.

1.4. Về cơ sở kinh doanh

• Tên cơ sở, địa chỉ chi nhánh, số điện thoại
• Mã số thuế, tên pháp lý, loại hình kinh doanh, khi được cung cấp để phục vụ hóa đơn. Đối với hộ kinh doanh, các thông tin này đồng thời có thể là thông tin cá nhân của chủ hộ.
• Lịch sử thanh toán phí dịch vụ và ghi chú đối soát

1.5. Khi truy cập senha.vn

• Trường hợp Quý khách đồng ý cookie phân tích: dữ liệu truy cập đã ẩn danh hóa qua Google Analytics và PostHog.
• Trường hợp từ chối: Senha không nạp các công cụ này. Trang web vẫn hoạt động bình thường.
• Không phụ thuộc lựa chọn cookie: số liệu lượt xem trang qua Cloudflare Web Analytics — công cụ không dùng cookie và không lưu mã định danh nào của Quý khách. Xem Chính sách Cookie.

1.6. Khi học tại Học viện Senha (learning.senha.vn)

• Tài khoản học: địa chỉ thư điện tử, mật khẩu và mã xác minh như tại mục 1.1; hoặc thông tin do Google, Facebook chia sẻ như tại mục 1.2. Senha không yêu cầu học viên cung cấp họ tên, số điện thoại hay ngày sinh.
• Tiến độ học: bài học đã mở, đã hoàn thành, thời điểm bắt đầu và hoàn thành, vị trí đang xem trong video.
• Bài kiểm tra: câu trả lời, điểm, kết quả đạt hay chưa đạt, số lần làm.
• Sổ tay và dự án cuối khóa: nội dung Quý khách tự soạn, ví dụ kế hoạch kinh doanh. Senha khuyến nghị không nhập thông tin cá nhân của người khác — khách hàng, nhân viên — vào các phần này.
• Chứng chỉ: mã chứng chỉ, tên hiển thị, tên khóa học, ngày cấp. Tên hiển thị là phần đứng trước ký tự @ trong địa chỉ thư điện tử của Quý khách.
• Phiên đăng nhập: địa chỉ IP và thông tin trình duyệt, thiết bị, như tại mục 1.3.
• Nguồn truy cập lần đầu: khi Quý khách lần đầu vào learning.senha.vn qua một đường dẫn có tham số chiến dịch (UTM) hoặc từ một website khác, trình duyệt ghi lại các tham số đó, tên miền của website giới thiệu và đường dẫn của trang đầu tiên được mở. Thông tin này nằm trên thiết bị của Quý khách tối đa 30 ngày và chỉ được gửi về Senha một lần, khi Quý khách ghi danh khóa học. Senha không thu thập mã theo dõi quảng cáo, mã thiết bị hay địa chỉ đầy đủ của trang giới thiệu.
• Học thử khi chưa đăng nhập: các bài đã học thử được lưu trên trình duyệt của Quý khách, không gửi về Senha, cho tới khi Quý khách đăng nhập hoặc đăng ký — khi đó được chuyển vào tài khoản học.
• Ghi nhận khi đăng ký: phiên bản Điều khoản dịch vụ Quý khách chấp nhận, phiên bản Chính sách này đã được hiển thị cho Quý khách, thời điểm, địa chỉ IP và thông tin trình duyệt.

Trang xác minh chứng chỉ là công khai. Bất kỳ ai có mã chứng chỉ đều xem được tên hiển thị, tên khóa học và ngày cấp tại learning.senha.vn/chung-chi/… mà không cần đăng nhập — đó là cách người khác kiểm tra chứng chỉ Quý khách đưa cho họ. Quý khách quyết định chia sẻ mã với ai. Khi Quý khách xóa dữ liệu học tập, trang này ngừng hiển thị.

Senha không thu thập dữ liệu sinh trắc học, không thu thập số định danh cá nhân của người dùng phần mềm, và không theo dõi vị trí địa lý.

Điều 2. Mục đích xử lý và căn cứ xử lý#

Pháp luật Việt Nam lấy sự đồng ý của chủ thể dữ liệu cá nhân làm nguyên tắc. Dữ liệu chỉ được xử lý khi có sự đồng ý, trừ các trường hợp được liệt kê tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân.

Trong số các trường hợp đó, hai trường hợp liên quan đến Senha:

• Điểm d: “Thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật.”
• Điểm đ: “Trường hợp khác theo quy định của pháp luật” — áp dụng khi một văn bản pháp luật chuyên ngành, ví dụ pháp luật thuế và kế toán, buộc Senha lưu giữ chứng từ.

2.1. Cơ chế giám sát

Khoản 2 Điều 19 yêu cầu bên xử lý dữ liệu phải có cơ chế giám sát khi áp dụng các trường hợp không cần sự đồng ý. Senha ghi nhận mục đích và phạm vi của từng hoạt động nêu trên, giới hạn quyền truy cập theo vai trò, và lưu nhật ký để có thể chứng minh khi cơ quan có thẩm quyền yêu cầu.

2.2. Về số liệu đã khử nhận dạng

Khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân quy định: “Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân.” Số liệu thống kê nêu ở dòng cuối bảng trên được tạo bằng cách khử nhận dạng không thể đảo ngược, nên không thuộc phạm vi Chính sách này. Senha không sử dụng dữ liệu chưa khử nhận dạng cho mục đích này.

Số liệu về Học viện Senha — số người ghi danh, số người hoàn thành từng bài, số người đến từ từng kênh — được Senha xem dưới dạng số đếm tổng hợp, không kèm danh tính học viên.

2.3. Về nguồn truy cập lần đầu

Senha giới hạn việc sử dụng thông tin này như sau:

• Chỉ dùng để đếm số học viên đến từ mỗi kênh, dưới dạng số liệu tổng hợp. Không dùng để liên hệ, quảng cáo hay lập hồ sơ về cá nhân Quý khách, và không chia sẻ cho bên thứ ba.
• Bị xóa cùng dữ liệu học tập khi Quý khách xóa dữ liệu học tập.
• Quý khách có quyền phản đối việc xử lý này bất cứ lúc nào theo Điều 6; Senha xóa thông tin nguồn truy cập của Quý khách mà không ảnh hưởng đến việc học. Trước khi ghi danh, Quý khách cũng có thể tự xóa thông tin này bằng cách xóa dữ liệu trang web learning.senha.vn trong trình duyệt.

Senha không bán dữ liệu cá nhân, và không sử dụng dữ liệu của Quý khách để huấn luyện mô hình trí tuệ nhân tạo.

Điều 3. Bên tiếp nhận dữ liệu#

3.1. Bên xử lý dữ liệu thay Senha

Danh sách đầy đủ, kèm quốc gia và vai trò, được công bố tại Danh sách bên xử lý phụ. Senha cập nhật danh sách khi có thay đổi.

3.2. Google và Facebook

Trường hợp Quý khách lựa chọn đăng nhập bằng Google hoặc Facebook, thông tin đăng nhập được gửi đến và tiếp nhận từ hai công ty này. Đây là hoạt động chuyển dữ liệu cá nhân xuyên biên giới, và chỉ phát sinh khi Quý khách chủ động chọn phương thức đăng nhập đó. Phương thức thay thế luôn sẵn có: đăng nhập bằng thư điện tử và mật khẩu.

3.3. Theo yêu cầu của cơ quan nhà nước

Senha cung cấp dữ liệu cho cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp. Trong phạm vi pháp luật cho phép, Senha thông báo cho Quý khách.

3.4. Trường hợp không bao giờ áp dụng

Senha không bán, không cho thuê và không trao đổi dữ liệu cá nhân cho bên thứ ba phục vụ mục đích quảng cáo của bên thứ ba.

3.5. Khi học tại Học viện Senha

• Cloudflare vận hành máy chủ, chống bot, gửi thư và thống kê lượt xem trang; Neon lưu cơ sở dữ liệu tại Singapore — như đối với phần mềm, xem Điều 4.
• Google và Facebook, chỉ khi Quý khách chọn đăng nhập bằng hai phương thức này — như tại mục 3.2.
• YouTube (Google, Hoa Kỳ): video bài học được nhúng qua địa chỉ youtube-nocookie.com. Khi Quý khách mở một bài học có video, trình duyệt kết nối trực tiếp tới YouTube, nên YouTube nhận địa chỉ IP và thông tin trình duyệt của Quý khách và có thể lưu dữ liệu trên trình duyệt khi video được phát, theo chính sách riêng của Google. Senha không gửi thông tin tài khoản học của Quý khách cho YouTube.
• Nhân sự Senha đọc dự án cuối khóa và sổ tay để nhận xét. Mỗi lần danh sách dự án chờ nhận xét được mở, hệ thống ghi nhận người mở và thời điểm.

Điều 4. Nơi lưu trữ dữ liệu và chuyển dữ liệu cá nhân xuyên biên giới#

Dữ liệu của Senha được lưu trữ trên máy chủ đặt tại Singapore — cơ sở dữ liệu Neon vận hành trên hạ tầng AWS khu vực ap-southeast-1. Một phần hạ tầng vận hành do Cloudflare cung cấp và có thể xử lý dữ liệu tại nhiều khu vực.

Đây là hoạt động chuyển dữ liệu cá nhân xuyên biên giới theo Luật Bảo vệ dữ liệu cá nhân. Senha lập và nộp Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới cho Bộ Công an theo quy định, đồng thời áp dụng các biện pháp bảo vệ: mã hóa khi truyền, kiểm soát truy cập theo vai trò, và ràng buộc hợp đồng với các bên xử lý.

Trường hợp Quý khách không muốn dữ liệu của mình được xử lý ngoài lãnh thổ Việt Nam, vui lòng liên hệ privacy@senha.vn trước khi sử dụng dịch vụ.

Điều 5. Thời hạn lưu trữ#

Senha chỉ nêu tại đây những thời hạn mà hệ thống thực sự thực hiện:

Các thời hạn thông báo nêu trên được tiến trình tự động thực hiện hằng đêm, tính từ lúc thông báo được tạo, cộng thêm 7 ngày ân hạn. Nội dung tin nhắn đã gửi cho khách — gồm họ tên và số điện thoại xuất hiện trong tin — bị xóa cùng bản ghi.

Nhật ký thao tác trong phần mềm được lưu giữ để chủ cơ sở và Senha có thể truy vết, và chưa có tiến trình xóa tự động. Senha đang xây dựng cơ chế này; cho đến khi hoàn tất, Quý khách có thể yêu cầu xóa và Senha xử lý theo quy trình tại Điều 6.

Khi cơ quan nhà nước yêu cầu lưu giữ dữ liệu của một cơ sở kinh doanh phục vụ điều tra hoặc tố tụng, Senha tạm dừng mọi tiến trình xóa đối với cơ sở đó cho tới khi yêu cầu chấm dứt. Việc tạm dừng này được ghi nhận và không làm thay đổi các thời hạn nêu trên.

Điều 6. Quyền của chủ thể dữ liệu cá nhân#

Khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân quy định quyền của chủ thể dữ liệu cá nhân gồm sáu nhóm:

Một lưu ý về việc rút lại sự đồng ý: theo khoản 4 Điều 10 của Luật, việc rút lại sự đồng ý không có hiệu lực hồi tố — nó không áp dụng đối với hoạt động xử lý đã diễn ra trước thời điểm Quý khách yêu cầu.

6.1. Thời hạn Senha xử lý yêu cầu

Senha thực hiện theo đúng các thời hạn mà Điều 5 Nghị định 356/2025/NĐ-CP ấn định. Mọi yêu cầu đều được phản hồi trong 02 ngày làm việc; thời hạn hoàn tất khác nhau theo từng loại:

Trường hợp yêu cầu phức tạp, Điều 5 cho phép gia hạn tối đa 01 lần, không quá 15 ngày (với yêu cầu xem/cung cấp là 10 ngày; với yêu cầu xóa là 20 ngày). Khi gia hạn, Senha thông báo lý do cho Quý khách và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.

Cách thực hiện: gửi yêu cầu đến privacy@senha.vn. Học viên còn có thể tự xóa dữ liệu học tập theo Điều 6.2. Senha xác minh danh tính của người yêu cầu trước khi thực hiện — đây là bước bảo vệ chính Quý khách, vì một yêu cầu xóa do người khác gửi mạo danh cũng gây thiệt hại.

Trường hợp pháp luật quy định thời hạn ngắn hơn các mốc nêu trên, thời hạn của pháp luật được áp dụng.

Trường hợp không hài lòng với cách Senha xử lý, Quý khách có quyền khiếu nại đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an, hoặc khởi kiện theo quy định của pháp luật.

6.2. Học viên tự xóa dữ liệu học tập

Học viên Học viện Senha có thể tự xóa dữ liệu học tập mà không cần gửi yêu cầu: đăng nhập learning.senha.vn, mở Tài khoản, chọn Xóa dữ liệu học tập và nhập mật khẩu để xác nhận. Việc xóa được thực hiện ngay và không thể hoàn tác.

• Bị xóa: ghi danh, tiến độ, bài kiểm tra, sổ tay, dự án cuối khóa, chứng chỉ, nguồn truy cập lần đầu và mọi phiên đăng nhập khóa học. Mã chứng chỉ ngừng xác minh được ngay; bản sao đã lưu tạm trên mạng phân phối của Cloudflare có thể còn hiển thị thêm tối đa 5 phút.
• Tài khoản đăng nhập: nếu Quý khách chỉ dùng tài khoản để học, tài khoản cũng bị xóa — địa chỉ thư điện tử, mật khẩu, liên kết Google hoặc Facebook — và địa chỉ thư điện tử có thể được dùng để đăng ký lại từ đầu. Nếu cùng tài khoản đó được dùng cho phần mềm Senha tại một cơ sở kinh doanh, tài khoản được giữ nguyên để Quý khách tiếp tục làm việc, và chỉ dữ liệu học tập bị xóa.
• Được giữ lại: ghi nhận chấp nhận Điều khoản dịch vụ và thông báo Chính sách này nêu tại mục 1.6, làm bằng chứng; và một dòng nhật ký rằng việc xóa đã diễn ra, không chứa thư điện tử, nội dung học tập hay thông tin nhận dạng nào khác của Quý khách.

Quý khách cũng có thể gửi yêu cầu xóa đến privacy@senha.vn; Senha xử lý theo thời hạn tại Điều 6.1.

Điều 7. Biện pháp bảo mật#

Các biện pháp Senha đang áp dụng:

• Mật khẩu lưu dưới dạng băm Argon2id; mã xác minh cũng được băm, không lưu bản rõ
• Toàn bộ kết nối sử dụng HTTPS/TLS
• Tách biệt dữ liệu giữa các cơ sở kinh doanh — mọi truy vấn đều được giới hạn theo từng cơ sở
• Phân quyền theo vai trò; nhân sự Senha chỉ được cấp quyền ở mức cần thiết cho công việc
• Khóa tài khoản tạm thời sau nhiều lần đăng nhập sai
• Xác thực hai lớp bắt buộc đối với nhân sự Senha truy cập hệ thống quản trị
• Mã hóa AES-256-GCM đối với thông tin kết nối dịch vụ bên thứ ba
• Chống bot bằng Cloudflare Turnstile tại các trang đăng nhập, đăng ký
• Sao lưu cơ sở dữ liệu với khả năng khôi phục theo thời điểm

Không hệ thống nào an toàn tuyệt đối. Senha không đưa ra cam kết như vậy, và Quý khách nên thận trọng với bất kỳ nhà cung cấp nào cam kết như vậy.

Điều 8. Xử lý sự cố dữ liệu cá nhân#

8.1. Nghĩa vụ theo luật. Khoản 1 Điều 23 Luật Bảo vệ dữ liệu cá nhân buộc thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện, đối với vi phạm “có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân”. Nội dung thông báo theo Điều 28 và Mẫu số 08 Nghị định 356/2025/NĐ-CP.

8.2. Cam kết rộng hơn luật. Luật không buộc thông báo cho từng chủ thể dữ liệu cá nhân trong mọi trường hợp. Senha vẫn thông báo cho Quý khách và cho các cơ sở kinh doanh bị ảnh hưởng khi sự cố liên quan đến dữ liệu của họ, nêu rõ diễn biến, loại dữ liệu liên quan và khuyến nghị hành động — vì người bị ảnh hưởng cần biết để tự bảo vệ, không phải vì luật bắt buộc.

8.3. Khắc phục sự cố, lập biên bản xác nhận và phối hợp với cơ quan có thẩm quyền theo khoản 2 Điều 23.

Điều 9. Cookie#

Xem Chính sách Cookie.

Điều 10. Dữ liệu của trẻ em#

Senha là phần mềm phục vụ hoạt động kinh doanh, và Học viện Senha là khóa học dành cho người chuẩn bị hoặc đang kinh doanh; cả hai không dành cho người dưới 16 tuổi. Senha không cố ý thu thập dữ liệu của trẻ em qua các kênh này. Trường hợp phát hiện Senha đang lưu giữ dữ liệu của trẻ em, vui lòng thông báo đến privacy@senha.vn để được xóa.

Điều 11. Sửa đổi Chính sách#

Khi sửa đổi, Senha công bố phiên bản mới tại địa chỉ này kèm số phiên bản và ngày có hiệu lực. Đối với thay đổi quan trọng, Senha thông báo trước qua thư điện tử hoặc trong phần mềm tối thiểu 30 ngày.

Điều 12. Liên hệ#

• Phụ trách bảo vệ dữ liệu cá nhân: privacy@senha.vn
• Hỗ trợ chung: hello@senha.vn
• Địa chỉ: CÔNG TY TNHH CÔNG NGHỆ KMON, 25, Đường số 61, Phường Long Trường, Thành phố Hồ Chí Minh