Chính sách bảo mật

1. Phạm vi áp dụng

1.1. Chính sách này áp dụng cho tất cả người dùng EduMind AI bao gồm: học sinh, giáo viên, cán bộ nhà trường và phụ huynh.

1.2. Bằng việc sử dụng Hệ thống, bạn đồng ý với việc thu thập và xử lý dữ liệu theo chính sách này.

1.3. Chính sách có hiệu lực từ ngày đăng tải và được cập nhật theo lịch sử phiên bản ở cuối trang.

2. Thông tin chúng tôi thu thập

2.1. Thông tin tài khoản:

• Họ và tên đầy đủ
• Địa chỉ email (trường hoặc cá nhân)
• Số điện thoại liên hệ
• Vai trò (học sinh/giáo viên/quản trị)
• Thông tin đăng nhập (mật khẩu được mã hóa)

2.2. Thông tin học tập và công tác:

• Lớp học, khối, mã học sinh/giáo viên
• Điểm số, kết quả học tập
• Dữ liệu điểm danh, chuyên cần
• Lịch sử vi phạm nề nếp (nếu có)
• Hoạt động tham gia ngoại khóa

2.3. Thông tin kỹ thuật:

• Địa chỉ IP, loại trình duyệt, thiết bị sử dụng
• Thời gian truy cập và hoạt động trên Hệ thống
• Log file ghi nhận lỗi và sự cố

2.4. Thông tin từ tương tác AI: Nội dung câu hỏi và phản hồi khi sử dụng trợ lý AI (không lưu trữ lâu dài).

3. Mục đích sử dụng thông tin

3.1. Chúng tôi sử dụng thông tin cho các mục đích sau:

3.2. Không sử dụng dữ liệu cho mục đích quảng cáo, marketing hoặc bán cho bên thứ ba.

4. Cơ chế lưu trữ và bảo mật

4.1. Lưu trữ local: Dữ liệu được lưu trữ trên máy chủ nội bộ của nhà trường, không lưu trên đám mây công cộng.

4.2. Bảo mật AI: Các tính năng AI (Ollama) chạy hoàn toàn local, không gửi dữ liệu nhạy cảm lên internet.

4.3. Biện pháp kỹ thuật:

• Mã hóa mật khẩu bằng thuật toán bcrypt/Argon2
• Kết nối HTTPS/TLS cho truyền tải dữ liệu
• Tường lửa và giới hạn truy cập mạng nội bộ
• Sao lưu dữ liệu định kỳ (hàng ngày/tuần)

4.4. Biện pháp tổ chức:

• Phân quyền nghiêm ngặt theo vai trò (RBAC)
• Đào tạo nhân viên về bảo mật thông tin
• Giới hạn truy cập vật lý vào máy chủ

5. Chia sẻ và tiết lộ thông tin

5.1. Không chia sẻ với bên thứ ba trừ các trường hợp sau:

• Cơ quan quản lý giáo dục: Sở GD&ĐT, Phòng GD&ĐT theo yêu cầu báo cáo chính thức
• Cơ quan pháp luật: Khi có yêu cầu hợp pháp từ cơ quan có thẩm quyền
• Phụ huynh/học sinh: Xem điểm số, thành tích theo phân quyền
• Đơn vị bảo trì: Nhân viên kỹ thuật được ủy quyền, có cam kết bảo mật

5.2. Chuyển giao dữ liệu: Không chuyển dữ liệu ra nước ngoài. Trong trường hợp sáp nhập/chuyển nhượng, dữ liệu vẫn thuộc quản lý của nhà trường.

7. Thời gian lưu trữ

7.1. Dữ liệu được lưu trữ trong thời gian:

• Tài khoản đang hoạt động: Trong suốt thời gian học tập/công tác tại trường
• Dữ liệu học tập: Theo quy định của Bộ GD&ĐT (tối thiểu 5 năm sau khi tốt nghiệp)
• Log hệ thống: 12 tháng để phục vụ kiểm tra bảo mật
• Tài khoản đã xóa: Dữ liệu cá nhân được xóa sau 30 ngày từ yêu cầu (trừ dữ liệu bắt buộc lưu)

7.2. Sau thời hạn trên, dữ liệu sẽ được xóa vĩnh viễn hoặc ẩn danh hóa.

9. Bảo vệ dữ liệu trẻ em

9.1. Hệ thống phục vụ học sinh từ 11-18 tuổi. Dữ liệu của học sinh dưới 16 tuổi được xử lý theo nguyên tắc:

• Thu thập thông tin tối thiểu cần thiết cho mục đích giáo dục
• Thông báo và thu thập đồng ý từ phụ huynh khi cần thiết
• Không công khai dữ liệu cá nhân học sinh trên các kênh không được kiểm soát
• Giáo viên chỉ được truy cập dữ liệu học sinh thuộc lớp/quyền quản lý của mình