Chính sách bảo mật dữ liệu cá nhân

Trung tâm thu thập dữ liệu cá nhân của học viên và khách hàng nhằm các mục đích sau:

• Ký kết và thực hiện hợp đồng đào tạo lái xe.
• Sinh Đơn xin học theo mẫu Thông tư 14/2025/TT-BXD, làm hồ sơ dự sát hạch nộp Sở Xây dựng Đồng Nai.
• Liên hệ tư vấn, nhắc lịch học, thông báo lịch thi và kết quả sát hạch.
• Xử lý thanh toán học phí qua chuyển khoản, đối soát qua cổng thanh toán Sepay và ghi sổ kế toán.
• Thực hiện nghĩa vụ pháp lý theo yêu cầu của cơ quan quản lý nhà nước.

Dữ liệu thu thập bao gồm:

• Thông tin định danh trên CCCD: họ tên, ngày sinh, số CCCD, quê quán, địa chỉ thường trú, giới tính.
• Số điện thoại, số Zalo, email liên hệ.
• Ảnh CCCD (mặt trước, mặt sau), ảnh chân dung 3×4 dùng cho hồ sơ dự thi.
• Thông tin GPLX đã có (nếu học viên nâng hạng): số GPLX, đơn vị cấp, ngày cấp.
• Giấy khám sức khoẻ do cơ sở y tế được Bộ Y tế cấp phép cấp.
• Lịch sử thanh toán, mã giao dịch ngân hàng, tài khoản chuyển khoản (chỉ 4 số cuối để đối soát).

Trung tâm không thu thập: mật khẩu ngân hàng, số CVV thẻ tín dụng, dấu vân tay, mống mắt, dữ liệu di truyền hoặc bất kỳ dữ liệu nhạy cảm nào ngoài phạm vi cần thiết cho đào tạo lái xe.

Việc xử lý dữ liệu cá nhân được thực hiện trên cơ sở pháp lý:

• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, có hiệu lực từ 01/07/2023.
• Luật Trật tự an toàn giao thông đường bộ 2024.
• Thông tư 14/2025/TT-BXD quy định chương trình đào tạo lái xe cơ giới đường bộ.
• Sự đồng ý của học viên tại thời điểm đăng ký (checkbox consent trong form đăng ký, có ghi nhận thời điểm và địa chỉ IP).

Dữ liệu được sử dụng cho đúng mục đích đã nêu tại Mục 1. Trung tâm cam kết:

• Không dùng dữ liệu cho mục đích thương mại khác.
• Không bán, cho thuê, trao đổi dữ liệu học viên với bên thứ ba vì mục đích quảng cáo.
• Chỉ nhân viên có thẩm quyền (giám đốc, tư vấn, kế toán) được truy cập dữ liệu học viên, mỗi lần truy cập đều được ghi log audit.
• 4 số đầu CCCD được che khi hiển thị công khai (VD danh sách kỳ thi trên website).

Dữ liệu chỉ được chia sẻ trong các trường hợp cụ thể:

• Sở Xây dựng Đồng Nai: nộp hồ sơ dự sát hạch theo quy định pháp luật.
• Cơ sở y tế: chuyển thông tin học viên khi học viên đăng ký gói khám sức khoẻ combo (chỉ họ tên, ngày sinh, số điện thoại, không chia sẻ ảnh CCCD).
• Ngân hàng đối tác (Vietcombank, Eximbank qua cổng Sepay): chỉ đối soát giao dịch thanh toán, gồm mã đơn và số tiền.
• Cơ quan nhà nước: khi có yêu cầu bằng văn bản theo luật định (công an, thanh tra giao thông, cơ quan thuế).

Theo yêu cầu của Sở Xây dựng Đồng Nai, trung tâm công bố danh sách thí sinh dự thi ở mỗi kỳ trên trang Tra cứu kỳ thi. Đây là cơ sở pháp lý riêng, không phụ thuộc vào việc học viên đã tick ô đồng ý xử lý dữ liệu cá nhân lúc đăng ký.

Bốn lớp kỹ thuật giảm rủi ro lộ dữ liệu cá nhân của học viên:

1. Che vừa — danh sách công khai chỉ hiện họ tên, năm sinh, 8 số cuối CCCD (che 4 số đầu) và hạng thi. Ngày và tháng sinh, 4 số đầu CCCD được ẩn.
2. Watermark ảnh chân dung — với danh sách nguồn BC1 (có ảnh), ảnh được đóng watermark chìm “trungtamthanhdat.com” để chống bên thứ ba tải về dùng cho mục đích khác.
3. Robots noindex + Disallow — trang danh sách gắn thẻ robots: noindex, nofollow và thư mục được liệt kê trong robots.txt để Google và các bot search không đưa nội dung PII lên trang kết quả tìm kiếm.
4. Giới hạn tần suất tra cứu (rate limit) + captcha — trung tâm giới hạn số lần một địa chỉ IP được tra cứu trong một phút và bật captcha sau chuỗi tra không kết quả liên tiếp, tránh bot quét toàn bộ danh sách.

Đây là quyền pháp lý riêng, phân biệt với việc đồng ý xử lý dữ liệu cá nhân ở Mục 3 (checkbox lúc đăng ký). Hai khái niệm này không thay thế và không phủ định lẫn nhau.

Theo Nghị định 13/2023/NĐ-CP, học viên có các quyền sau đối với dữ liệu cá nhân của mình:

• Quyền được biết: biết trung tâm đang lưu giữ dữ liệu gì về mình.
• Quyền đồng ý và rút lại đồng ý: có thể rút lại đồng ý xử lý dữ liệu bất kỳ lúc nào, nhưng lưu ý việc rút đồng ý có thể ảnh hưởng đến khả năng hoàn thành khoá học đã đăng ký.
• Quyền truy cập, chỉnh sửa: yêu cầu xem hoặc sửa đổi thông tin cá nhân sai sót thông qua trang tra cứu đơn hoặc liên hệ trung tâm.
• Quyền xoá dữ liệu: yêu cầu trung tâm xoá dữ liệu cá nhân (có giới hạn theo Mục 10).
• Quyền khiếu nại: nếu quyền lợi bị vi phạm, có thể khiếu nại tới trung tâm hoặc cơ quan có thẩm quyền.

Trung tâm áp dụng các biện pháp kỹ thuật và tổ chức:

• Mã hoá kết nối HTTPS/TLS trên toàn website.
• Mật khẩu tài khoản admin được lưu dưới dạng hash bcrypt, không lưu plain text.
• Xác thực 2 lớp (TOTP) khuyến nghị cho tài khoản Giám đốc.
• Sao lưu dữ liệu hàng ngày, lưu trữ tại VPS riêng có tường lửa.
• Log audit đầy đủ mọi thao tác truy cập, sửa đổi dữ liệu học viên.
• Kiểm tra bảo mật định kỳ, cập nhật bản vá kịp thời khi có lỗ hổng.

Việc tick vào checkbox “Đồng ý chính sách bảo vệ dữ liệu cá nhân” ở form đăng ký được xem là đồng ý toàn bộ điều khoản của Mục này.

• Hồ sơ học viên đã cấp GPLX được lưu 5 năm kể từ ngày cấp, để phục vụ nghiệp vụ tra cứu và đối chiếu theo yêu cầu Sở.
• Đơn hàng đã huỷ hoặc hoàn tiền được lưu 3 năm để đối chiếu kế toán và giải quyết khiếu nại phát sinh.
• Log audit truy cập admin được lưu 2 năm.
• Khi học viên yêu cầu xoá dữ liệu, trung tâm sẽ xoá ảnh CCCD, ảnh chân dung và ẩn tên (thay bằng “[HỌC VIÊN YÊU CẦU XOÁ dd/mm/yyyy]”) nhưng vẫn giữ mã đơn, số tiền và mốc thời gian để đối chiếu tài chính. Việc này không vi phạm quyền xoá vì thuộc nghĩa vụ lưu trữ theo luật định.