CHÍNH SÁCH BẢO MẬT VÀ BẢO VỆ DỮ LIỆU CÁ NHÂN

Phiên bản: 001/ Ngày ban hành: 01/10/2026 /Ngày hiệu lực: 01/10/2026

1. Mục đích và phạm vi áp dụng

PHX Phụ huynh (sau đây gọi là “Nhà trường”) ban hành Chính sách bảo mật và bảo vệ dữ liệu cá nhân này (“Chính sách”) nhằm thông tin minh bạch cho phụ huynh, người đại diện theo pháp luật, học sinh, người dùng khác (“Người dùng”) và các chủ thể có liên quan về việc thu thập, xử lý, sử dụng, lưu trữ, bảo vệ và thực hiện quyền đối với dữ liệu cá nhân được Nhà trường xử lý thông qua ứng dụng (“Ứng dụng”).

Bằng cách truy cập vào Ứng dụng hoặc đăng ký tài khoản, Người dùng đồng ý với Nhà trường về các điều khoản của Chính sách này. Vui lòng đọc kỹ Chính sách này. Hoạt động của Nhà trường không ngừng phát triển, Chính sách của Nhà trường cũng có thể được cập nhật tại từng thời điểm. Việc người dùng tiếp tục sử dụng Ứng dụng của Nhà trường được hiểu là người dùng đã chấp nhận bản Chính sách được cập nhật. Người dùng được khuyến nghị nên thường xuyên kiểm tra Chính sách bảo vệ dữ liệu cá nhân của Nhà trường để biết được những thay đổi đối với Chính sách.

2. Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân

Trong phạm vi hoạt động xử lý dữ liệu cá nhân qua Ứng dụng phục vụ công tác quản lý, giáo dục và cung cấp dịch vụ của Nhà trường, Nhà trường là bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân và chịu trách nhiệm xác định mục đích, phạm vi và phương thức xử lý dữ liệu theo quy định pháp luật.

3. Phạm vi và loại dữ liệu cá nhân được xử lý

Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân. Dữ liệu cá nhân được Nhà trường thu thập và xử lý có thể bao gồm:

3.1. Dữ liệu cá nhân cơ bản

Thông tin định danh và liên hệ: Họ và tên, ngày tháng năm sinh, giới tính, số điện thoại, email, địa chỉ liên hệ, ảnh chân dung thông thường, thông tin thẻ bảo hiểm y tế, mã định danh học sinh/người dùng.

Dữ liệu học tập và rèn luyện: Kết quả học tập, điểm số, nhận xét và đánh giá rèn luyện, thông tin theo dõi tiến độ học tập.

Dữ liệu đăng ký và sử dụng dịch vụ/tiện ích học đường: Thông tin đăng ký nghỉ học/điểm danh, dịch vụ đưa đón học sinh, suất ăn bán trú, thư viện, mua sắm đồ dùng học tập và các dịch vụ ngoại khóa/tiện ích nội bộ khác do Nhà trường cung cấp.

Dữ liệu thanh toán và nghĩa vụ tài chính học đường: Thông tin các khoản thu, học phí và số tiền thanh toán do người dùng nhập.

Dữ liệu liên lạc, phản hồi và góp ý: Tin nhắn trao đổi qua Ứng dụng, nội dung phản ánh, khiếu nại, góp ý hoặc kết quả khảo sát ý kiến gửi đến Nhà trường, không bao gồm các thông tin thuộc dữ liệu cá nhân nhạy cảm.

Dữ liệu kỹ thuật: Các thông tin kỹ thuật cần thiết để xác thực, bảo mật và vận hành Ứng dụng, thời gian đăng nhập, địa chỉ IP, mã thiết bị và các dữ liệu kỹ thuật khác không thuộc dữ liệu cá nhân nhạy cảm.

Hình ảnh và tệp tin: Hình ảnh, tệp tin do người dùng chủ động tải lên hoặc phát sinh từ chức năng được Nhà trường triển khai, không chứa dữ liệu cá nhân nhạy cảm.

3.2. Dữ liệu cá nhân khác

Dữ liệu y tế của học sinh: Các dữ liệu phản ánh tình trạng sức khỏe của học sinh.

Dữ liệu vị trí: Vị trí của người dùng được xác định thông qua dịch vụ định vị khi chức năng tương ứng được kích hoạt.

Dữ liệu theo dõi hành vi sử dụng Ứng dụng: Lịch sử thao tác, nhật ký tương tác, trạng thái gửi/nhận/đọc thông báo và các dữ liệu nhật ký sử dụng khác khi được xử lý để theo dõi hành vi, hoạt động sử dụng Ứng dụng trên không gian mạng.

Nhà trường không mặc nhiên thu thập, xử lý mọi loại dữ liệu nêu trên đối với mọi người dùng. Dữ liệu được xử lý theo nhu cầu thực tế của từng chức năng, nguyên tắc chỉ xử lý trong phạm vi cần thiết cho mục đích đã xác định và có căn cứ hợp pháp cho việc xử lý.

4. Dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi

a) Trong trường hợp pháp luật yêu cầu sự đồng ý đối với việc xử lý dữ liệu cá nhân của các đối tượng nêu trên, việc đồng ý sẽ do người đại diện theo pháp luật thực hiện thay. Riêng việc công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên, Nhà trường chỉ thực hiện khi có sự đồng ý của cả trẻ em và người đại diện theo pháp luật.

b) Người dùng cam kết các thông tin cung cấp cho Nhà trường là trung thực, đầy đủ và chính xác. Người dùng đồng ý rằng Nhà trường không có trách nhiệm phải thẩm định về tính hợp pháp, hợp lệ của các thông tin, tài liệu do Người dùng cung cấp, xác nhận.

c) Nhà trường có quyền xác minh thông tin trong trường hợp Nhà trường xét thấy cần thiết. Trường hợp từ chối giải quyết yêu cầu của Người dùng, Nhà trường sẽ phản hồi Người dùng bằng văn bản; trong đó, nêu rõ căn cứ pháp lý và sự không phù hợp trong yêu cầu của Người dùng.

5. Cơ sở pháp lý để xử lý dữ liệu cá nhân và mục đích xử lý dữ liệu cá nhân

Nhà trường xử lý dữ liệu cá nhân của chủ thể dữ liệu cho các mục đích sau, dựa trên sự đồng ý hoặc các cơ sở pháp lý khác như thực hiện thỏa thuận, tuân thủ nghĩa vụ theo quy định pháp luật và cơ sở pháp lý khác như được mô tả dưới đây:

5.1. Dựa trên sự đồng ý của Chủ thể dữ liệu, dữ liệu cá nhân được xử lý để:

a) Giới thiệu, quảng bá: Sử dụng dữ liệu để tư vấn, giới thiệu, quảng bá và cá nhân hóa nội dung giới thiệu, quảng bá đối với các chương trình giáo dục, sản phẩm, dịch vụ và hoạt động do Nhà trường cung cấp.

b) Nghiên cứu, phát triển: Phân tích, thống kê dữ liệu nhằm nghiên cứu, cải tiến chất lượng giáo dục, sản phẩm, dịch vụ, hoạt động quản trị và trải nghiệm người dùng ngoài phạm vi cần thiết để thực hiện thỏa thuận hoặc nghĩa vụ pháp luật.

c) Các mục đích khác (trừ trường hợp không cần sự đồng ý của chủ thể dữ liệu): được Nhà trường thông báo và có sự đồng ý hợp lệ theo quy định pháp luật.

5.2. Các mục đích được pháp luật cho phép xử lý dữ liệu cá nhân không cần sự đồng ý của Chủ thể dữ liệu, bao gồm:

a) Thực hiện hợp đồng, thỏa thuận: Quản lý tài khoản, cung cấp và vận hành Ứng dụng; quản lý hoạt động giáo dục, học sinh, học tập, học phí và các dịch vụ/tiện ích học đường; thực hiện hoạt động quản trị cần thiết; liên hệ, thông báo, hỗ trợ học sinh, phụ huynh, người dùng và giải quyết yêu cầu, khiếu nại.

b) Thực hiện nghĩa vụ pháp lý: Thực hiện nghĩa vụ theo quy định pháp luật; tuân thủ yêu cầu, quyết định của cơ quan Nhà nước có thẩm quyền.

c) Bảo vệ quyền, lợi ích hợp pháp: Bảo vệ tính mạng, sức khỏe, quyền và lợi ích hợp pháp của chủ thể dữ liệu cá nhân hoặc người khác trong trường hợp cấp bách; Bảo vệ quyền hoặc lợi ích chính đáng của Người dùng, Nhà trường, hoặc người khác một cách cần thiết trước hành vi xâm phạm lợi ích nói trên.

d) Giải quyết tình trạng khẩn cấp; phòng, chống vi phạm pháp luật.

đ) Trường hợp khác theo quy định pháp luật.

6. Cách thức thu thập, sử dụng dữ liệu cá nhân

6.1. Cách thức thu thập: Nhà trường thu thập dữ liệu cá nhân thông qua:

a) Thông tin do Người dùng trực tiếp cung cấp khi đăng ký, sử dụng Ứng dụng hoặc liên hệ, trao đổi với Nhà trường;

b) Thông tin phát sinh trong quá trình học tập, sử dụng dịch vụ và tham gia các hoạt động của Nhà trường;

c) Dữ liệu kỹ thuật được tự động ghi nhận trong quá trình sử dụng Ứng dụng.

6.2. Cách thức sử dụng: Nhà trường xử lý dữ liệu cá nhân bằng các phương thức phù hợp với mục đích quy định tại Chính sách này và trên cơ sở pháp lý hợp lệ.

7. Cách thức chia sẻ dữ liệu cá nhân, những cá nhân, tổ chức có thể tiếp cận với dữ liệu cá nhân

Nhà trường không bán dữ liệu cá nhân của Người dùng. Nhà trường có thể chia sẻ hoặc cho phép các tổ chức, cá nhân sau đây tiếp cận dữ liệu cá nhân trong phạm vi cần thiết để thực hiện các mục đích xử lý dữ liệu được quy định tại Chính sách này:

Các bộ phận, nhân sự nội bộ của Nhà trường trong phạm vi chức năng, nhiệm vụ được giao.

Cơ quan nhà nước có thẩm quyền và các tổ chức, cá nhân khác trong trường hợp pháp luật quy định, cho phép hoặc có căn cứ xử lý hợp pháp tương ứng.

Trong quá trình hoạt động, Nhà trường có thể thực hiện các hình thức tổ chức lại bao gồm nhưng không giới hạn chia, tách, sáp nhập, hợp nhất theo quy định pháp luật. Trong trường hợp này, dữ liệu cá nhân và quyền sử dụng các thông tin có liên quan có thể được chuyển giao và/hoặc tiếp tục xử lý nhằm phục vụ việc thực hiện các hoạt động nêu trên với điều kiện không làm phát sinh mục đích xử lý dữ liệu mới ngoài các mục đích tại Điều 5 của Chính sách này và bên nhận dữ liệu tiếp tục tuân thủ các yêu cầu bảo vệ dữ liệu cá nhân theo quy định pháp luật.

Việc chia sẻ dữ liệu phải tuân thủ quy định pháp luật về bảo vệ dữ liệu cá nhân.

8. Lưu trữ và thời hạn lưu trữ dữ liệu cá nhân

Nhà trường lưu trữ dữ liệu cá nhân trong thời hạn cần thiết để thực hiện mục đích xử lý đã được nêu tại Chính sách hoặc theo yêu cầu của pháp luật có liên quan.

Thời gian lưu trữ có thể khác nhau đối với từng loại dữ liệu và từng mục đích. Khi dữ liệu không còn cần thiết hoặc không còn căn cứ pháp lý để lưu trữ, Nhà trường thực hiện xóa, hủy hoặc xử lý dữ liệu theo phương thức phù hợp, trừ trường hợp pháp luật yêu cầu hoặc cho phép tiếp tục lưu trữ.

9. Biện pháp bảo mật, bảo vệ dữ liệu cá nhân

Nhà trường và các đơn vị được Nhà trường giao xử lý dữ liệu có trách nhiệm áp dụng các biện pháp quản lý, kỹ thuật và các biện pháp phù hợp khác để bảo vệ dữ liệu cá nhân, kiểm soát quyền truy cập và hạn chế nguy cơ mất, hủy, sửa đổi, tiết lộ hoặc sử dụng dữ liệu trái phép.

Người dùng có trách nhiệm bảo mật thông tin đăng nhập, sử dụng thiết bị an toàn và thông báo ngay cho Nhà trường khi phát hiện tài khoản bị truy cập trái phép hoặc có sự cố ảnh hưởng đến dữ liệu cá nhân.

Khi xảy ra sự cố liên quan đến dữ liệu cá nhân, Nhà trường và bên xử lý dữ liệu có trách nhiệm phối hợp xử lý, khắc phục và thực hiện việc thông báo, báo cáo theo đúng quy định pháp luật và thỏa thuận giữa các bên.

Do đặc thù của môi trường công nghệ và Internet, không có biện pháp bảo mật nào có thể bảo đảm an toàn tuyệt đối. Vì vậy, mặc dù Nhà trường luôn nỗ lực áp dụng các biện pháp phù hợp, Nhà trường không thể bảo đảm hoặc cam kết tuyệt đối rằng dữ liệu cá nhân của bạn sẽ luôn an toàn trong mọi trường hợp.

10. Quyền, nghĩa vụ của chủ thể dữ liệu cá nhân và phương thức, quy trình thực hiện quyền của chủ thể dữ liệu cá nhân

10.1. Quyền của chủ thể dữ liệu cá nhân bao gồm:

a) Được biết về hoạt động xử lý dữ liệu cá nhân;

b) Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân;

c) Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân;

d) Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý dữ liệu cá nhân;

10.2. Nghĩa vụ của chủ thể dữ liệu cá nhân bao gồm:

a) Tự bảo vệ dữ liệu cá nhân của mình;

b) Tôn trọng, bảo vệ dữ liệu cá nhân của người khác;

c) Cung cấp đầy đủ, chính xác dữ liệu cá nhân của mình theo quy định của pháp luật, theo hợp đồng hoặc khi đồng ý cho phép xử lý dữ liệu cá nhân của mình;

d) Chấp hành pháp luật về bảo vệ dữ liệu cá nhân và tham gia phòng, chống hoạt động xâm phạm dữ liệu cá nhân.

10.3. Chủ thể dữ liệu cá nhân khi thực hiện quyền và nghĩa vụ của mình phải tuân thủ đầy đủ các nguyên tắc sau đây:

a) Thực hiện theo quy định của pháp luật; tuân thủ nghĩa vụ của chủ thể dữ liệu cá nhân theo hợp đồng. Việc thực hiện quyền và nghĩa vụ của chủ thể dữ liệu cá nhân phải nhằm mục đích bảo vệ quyền, lợi ích hợp pháp của chính chủ thể dữ liệu cá nhân đó;

b) Không được gây khó khăn, cản trở việc thực hiện quyền, nghĩa vụ pháp lý của bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân;

c) Không được xâm phạm đến quyền, lợi ích hợp pháp của Nhà nước, cơ quan, tổ chức, cá nhân khác.

10.4. Cơ quan, tổ chức, cá nhân có trách nhiệm tạo điều kiện thuận lợi, không được gây khó khăn, cản trở việc thực hiện quyền và nghĩa vụ của chủ thể dữ liệu cá nhân theo quy định của pháp luật.

10.5. Phương thức, quy trình thực hiện quyền:

a) Chủ thể dữ liệu có thể thực hiện quyền liên quan đến dữ liệu cá nhân của mình bằng cách gửi yêu cầu đến Nhà trường theo thông tin liên hệ được cung cấp tại Điều 14 của Chính sách này, bằng cách gửi yêu cầu trực tiếp bằng văn bản, qua email hoặc thông qua các phương tiện điện tử khác.

b) Yêu cầu thực hiện quyền của chủ thể dữ liệu phải nêu rõ ít nhất các nội dung sau: họ tên, email hoặc số điện thoại, quyền cụ thể muốn thực hiện và loại dữ liệu cá nhân liên quan đến yêu cầu, lý do (nếu có), thông tin, tài liệu liên quan đến việc thực hiện quyền của chủ thể dữ liệu (nếu có).

c) Sau khi nhận được yêu cầu, Nhà trường sẽ xác minh danh tính và tính hợp lệ, tính đầy đủ và chính xác của yêu cầu theo quy định pháp luật, và đánh giá khả năng thực hiện yêu cầu. Nhà trường có quyền yêu cầu bổ sung thông tin để xác minh, hoặc từ chối xử lý yêu cầu nếu:

Chủ thể dữ liệu không cung cấp đủ thông tin để xác minh danh tính và tính hợp lệ của yêu cầu; hoặc

Quy định pháp luật không cho phép Nhà trường thực hiện yêu cầu của chủ thể dữ liệu; hoặc

Có yêu cầu cụ thể từ cơ quan Nhà nước có thẩm quyền.

11. Tiếp nhận và giải quyết phản ánh, khiếu nại

Mọi phản ánh, khiếu nại liên quan đến việc dữ liệu cá nhân bị xử lý không đúng mục đích, phạm vi hoặc quy định pháp luật có thể được gửi tới Nhà trường theo thông tin liên hệ tại Điều 14 của Chính sách này.

Nhà trường có trách nhiệm tiếp nhận, xác minh và xử lý phản ánh, khiếu nại theo quy định pháp luật và quy trình nội bộ; trường hợp cần thiết, Nhà trường phối hợp với đơn vị cung cấp phần mềm hoặc các bên liên quan để xử lý và khắc phục.

12. Chức năng vị trí, hình ảnh, âm thanh, video và tệp tin

Đối với chức năng yêu cầu quyền truy cập vị trí, camera, micro, thư viện ảnh hoặc tệp tin trên thiết bị, Ứng dụng chỉ sử dụng các quyền tương ứng trong phạm vi cần thiết cho chức năng được Nhà trường triển khai và theo cơ chế cấp quyền của thiết bị.

Đối với hình ảnh, âm thanh, video hoặc tệp tin có chứa dữ liệu của người khác, người dùng chỉ được cung cấp hoặc tải lên khi có quyền hoặc căn cứ phù hợp. Dữ liệu được xử lý trong phạm vi mục đích của chức năng tương ứng và theo quy định của Chính sách này.

13. Chỉnh sửa và cập nhật

Chính sách này có thể được Nhà trường cập nhật, sửa đổi, bổ sung hoặc thay thế tại từng thời điểm trên cơ sở việc cập nhật, sửa đổi, bổ sung hoặc thay thế này không trái quy định của pháp luật Việt Nam và/hoặc nhằm mục đích bảo vệ tốt hơn thông tin của chủ thể dữ liệu.

Nội dung cập nhật, sửa đổi, bổ sung hoặc thay thế Chính sách này (nếu có) sẽ được Nhà trường công bố trên Ứng dụng hoặc công khai bằng phương thức phù hợp để Người dùng tiếp cận phù hợp với quy định pháp luật tại từng thời điểm. Người dùng nên truy cập và kiểm tra Ứng dụng thường xuyên để cập nhật những thay đổi gần nhất.

14. Thông báo

Chính sách này được coi là thông báo trước khi dữ liệu cá nhân được xử lý bởi Nhà trường. Theo đó, Nhà trường, tổ chức, cá nhân liên quan tham gia quá trình xử lý dữ liệu cá nhân không cần thực hiện thông báo lại trước khi xử lý dữ liệu cá nhân.

15. Hiệu lực

Chính sách này có hiệu lực kể từ ngày 1/10/2026.