Chính sách bảo mật thông tin

• Luật Thương mại điện tử số 122/2025/QH15 và Nghị định 248/2026/NĐ-CP ngày 30/6/2026 quy định chi tiết một số điều của Luật Thương mại điện tử (Điều 5 – Chính sách bảo mật);
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết Luật Bảo vệ dữ liệu cá nhân;
• Luật Bảo vệ quyền lợi người tiêu dùng 2023, Luật An ninh mạng và pháp luật về kế toán, thuế có liên quan.

Phạm vi áp dụng: mọi người dùng truy cập, đăng ký tài khoản, mua dịch vụ hoặc sử dụng các tính năng trên vstepup.vn và các trang con của nền tảng.

Sự đồng ý: VSTEPUP chỉ xử lý dữ liệu cá nhân khi người dùng đồng ý, trừ các trường hợp pháp luật cho phép xử lý không cần đồng ý (thực hiện hợp đồng dịch vụ đã mua, nghĩa vụ kế toán – thuế, yêu cầu của cơ quan nhà nước có thẩm quyền). Sự đồng ý được thể hiện rõ ràng, tự nguyện bằng thao tác chủ động (tích chọn ô đồng ý khi đăng nhập lần đầu, bật ghi âm khi làm bài Nói). Im lặng hoặc không phản hồi không được coi là đồng ý. Người dùng có thể rút lại sự đồng ý bất kỳ lúc nào theo Mục 6.

VSTEPUP chỉ thu thập dữ liệu cần thiết để cung cấp dịch vụ luyện thi VSTEP. VSTEPUP không thu thập số CCCD/định danh cá nhân, mật khẩu, số thẻ, mã OTP ngân hàng, dữ liệu sinh trắc học hay dữ liệu cá nhân nhạy cảm khác ngoài thông tin giao dịch nêu dưới đây.

Dữ liệu chỉ được sử dụng cho đúng các mục đích tại Mục 1. Cụ thể:

• Cung cấp dịch vụ đã đăng ký: đăng nhập, làm bài, chấm chữa, thi thử, lưu kết quả.
• Xử lý đơn hàng, kích hoạt và gia hạn gói dịch vụ, hoàn tiền theo Chính sách chấm dứt dịch vụ và hoàn tiền.
• Chấm điểm tự động: bài viết và bản ghi âm được gửi tới dịch vụ trí tuệ nhân tạo để chấm điểm, nhận dạng giọng nói. Kết quả AI mang tính tham khảo; người dùng có quyền yêu cầu xem xét lại qua kênh khiếu nại tại Mục 8.
• Chăm sóc khách hàng, trả lời câu hỏi, giải quyết khiếu nại.
• Gửi thông báo cần thiết về tài khoản, đơn hàng, thay đổi chính sách.
• Gửi email, tin nhắn tiếp thị chỉ khi người dùng đồng ý; người dùng có thể hủy nhận bất kỳ lúc nào qua đường dẫn trong email hoặc trong mục Tài khoản.
• Thống kê, phân tích ở dạng tổng hợp hoặc đã khử nhận dạng để cải thiện chất lượng đề và dịch vụ.
• Thực hiện nghĩa vụ theo yêu cầu bằng văn bản của cơ quan nhà nước có thẩm quyền.

VSTEPUP không bán, không cho thuê, không trao đổi dữ liệu cá nhân của người dùng. VSTEPUP không sử dụng bài làm, bản ghi âm có gắn danh tính người dùng để huấn luyện mô hình AI của bên thứ ba. Khi cần dùng dữ liệu cho mục đích mới ngoài chính sách này, VSTEPUP sẽ thông báo và xin sự đồng ý của người dùng trước.

Dữ liệu được lưu trong thời gian cần thiết cho mục đích xử lý, sau đó được xóa hoặc khử nhận dạng. Khi pháp luật yêu cầu lưu lâu hơn, VSTEPUP lưu theo thời hạn pháp luật và chỉ hạn chế xử lý phần dữ liệu đó.

Ngoài chủ quản nền tảng, chỉ các bên dưới đây được tiếp cận dữ liệu, trong phạm vi cần thiết cho từng nhiệm vụ:

Các bên cung cấp dịch vụ xử lý dữ liệu theo hợp đồng hoặc điều khoản dịch vụ có cam kết bảo mật, chỉ dùng dữ liệu đúng mục đích VSTEPUP giao.

Chuyển dữ liệu ra nước ngoài: Google, OpenAI, Deepgram, Cloudflare và Meta có máy chủ đặt ngoài Việt Nam. Vì vậy, một phần dữ liệu (chủ yếu là bài làm, bản ghi âm đã tách danh tính, dữ liệu đăng nhập và kỹ thuật) có thể được chuyển và lưu trữ ở nước ngoài. VSTEPUP thực hiện việc này theo quy định về chuyển dữ liệu cá nhân xuyên biên giới của Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP, và chỉ chọn nhà cung cấp có biện pháp bảo mật tương đương tiêu chuẩn quốc tế.

Trường hợp VSTEPUP chuyển nhượng, sáp nhập hoặc ngừng hoạt động, người dùng sẽ được thông báo trước ít nhất 30 ngày, kèm quyền yêu cầu xóa dữ liệu.

Xử lý sự cố: khi phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân (lộ, mất, truy cập trái phép), VSTEPUP áp dụng ngay biện pháp ngăn chặn, thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an) trong thời hạn luật định (chậm nhất 72 giờ), đồng thời thông báo cho người dùng bị ảnh hưởng qua email, kèm hướng dẫn tự bảo vệ.

Trách nhiệm của người dùng: bảo mật tài khoản Google dùng để đăng nhập, đăng xuất khi dùng máy chung, không chia sẻ tài khoản và cung cấp thông tin chính xác. VSTEPUP không chịu trách nhiệm với thiệt hại phát sinh do người dùng tự ý để lộ thông tin đăng nhập.

Cookie và công cụ theo dõi: VSTEPUP dùng cookie thiết yếu (duy trì đăng nhập, bảo mật) và, khi người dùng đồng ý, cookie đo lường, quảng cáo (Facebook Pixel). Khi truy cập lần đầu, người dùng được chọn chấp nhận hoặc từ chối cookie không thiết yếu; từ chối không ảnh hưởng đến việc dùng dịch vụ. Người dùng có thể thay đổi lựa chọn hoặc xóa cookie trên trình duyệt bất kỳ lúc nào.

Dữ liệu của trẻ em: VSTEPUP hướng tới người dùng từ đủ 16 tuổi. Người dùng dưới 16 tuổi chỉ sử dụng nền tảng khi có sự đồng ý của cha, mẹ hoặc người giám hộ (và của chính trẻ nếu từ đủ 7 tuổi) theo quy định pháp luật. Khi phát hiện dữ liệu của trẻ em được thu thập không đúng quy định, VSTEPUP sẽ xóa dữ liệu đó.

Quyền của người dùng (chủ thể dữ liệu): được biết về việc xử lý dữ liệu; đồng ý hoặc không đồng ý, rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý; phản đối xử lý cho mục đích quảng cáo, tiếp thị; khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định pháp luật.

Nghĩa vụ của người dùng: tự bảo vệ dữ liệu cá nhân của mình; tôn trọng dữ liệu cá nhân của người khác (không đăng thông tin cá nhân của người khác trong bình luận); cung cấp dữ liệu đầy đủ, chính xác.

Tự thực hiện: đăng nhập, vào Tài khoản → Cài đặt để xem và sửa họ tên, ngày thi và cấp độ mục tiêu, tùy chọn nhận email; vào Lịch sử luyện tập để xem bài làm, điểm số.

Gửi yêu cầu (với dữ liệu không tự sửa được như email đăng nhập, lịch sử giao dịch, hoặc yêu cầu bản sao dữ liệu):

1. Gửi email tới vstepupvn@gmail.com từ email đã đăng ký, tiêu đề "Yêu cầu xem/chỉnh sửa dữ liệu", nêu rõ nội dung cần xem hoặc sửa.
2. VSTEPUP phản hồi, xác minh chủ tài khoản trong 02 ngày làm việc.
3. Thực hiện trong 10 ngày (15 ngày nếu cần bên xử lý dữ liệu, bên thứ ba cùng chỉnh sửa) và báo kết quả qua email.

1. Gửi email tới vstepupvn@gmail.com từ email đã đăng ký, tiêu đề "Yêu cầu xóa/hạn chế xử lý dữ liệu" (hoặc "Rút lại sự đồng ý"), ghi rõ email tài khoản, dữ liệu và loại yêu cầu.
2. VSTEPUP phản hồi, xác minh chủ tài khoản trong 02 ngày làm việc và thông báo hậu quả có thể xảy ra (ví dụ: xóa tài khoản sẽ mất toàn bộ lịch sử học và thời hạn gói Pro còn lại).
3. Thời hạn thực hiện:
   • Rút lại sự đồng ý, hạn chế hoặc phản đối xử lý: trong 15 ngày;
   • Xóa dữ liệu, xóa tài khoản: trong 20 ngày (30 ngày nếu phải yêu cầu bên xử lý dữ liệu, bên thứ ba cùng xóa).
4. Dữ liệu giao dịch mà pháp luật bắt buộc lưu giữ được hạn chế xử lý thay vì xóa, và được xóa khi hết thời hạn lưu trữ bắt buộc. VSTEPUP sẽ nêu rõ lý do nếu từ chối hoặc chỉ thực hiện một phần yêu cầu.

Trường hợp vụ việc phức tạp, VSTEPUP có thể gia hạn theo quy định pháp luật và thông báo lý do cho người dùng trước khi hết thời hạn.

Kênh tiếp nhận: email vstepupvn@gmail.com (kênh trực tuyến chính); điện thoại/Zalo 0963 135 703 (08:00–21:00, thứ Hai đến Chủ nhật); tin nhắn Fanpage VSTEPUP.

1. Người dùng gửi phản ánh, nêu email tài khoản, nội dung và bằng chứng (nếu có).
2. VSTEPUP xác nhận đã nhận và phản hồi ban đầu trong 24 giờ.
3. Xác minh, xử lý và trả lời kết quả trong tối đa 07 ngày làm việc; vụ việc liên quan sự cố lộ lọt dữ liệu được ưu tiên xử lý ngay.
4. Nếu không đồng ý với kết quả, người dùng có quyền gửi phản ánh tới Hệ thống quản lý hoạt động thương mại điện tử của Bộ Công Thương (online.gov.vn), cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an, hoặc khởi kiện tại Tòa án.

Quy trình chung xem tại Chính sách giải quyết khiếu nại.

Khi sửa đổi chính sách, VSTEPUP đăng bản mới trên trang này, ghi ngày hiệu lực và thông báo qua email hoặc trên nền tảng ít nhất 07 ngày trước khi áp dụng. Thay đổi làm mở rộng mục đích hoặc phạm vi xử lý dữ liệu sẽ chỉ áp dụng khi người dùng đồng ý lại. Chính sách này chỉ áp dụng cho vstepup.vn; các website, ứng dụng của bên thứ ba được liên kết (Zalo, Facebook, TikTok, Google) có chính sách riêng.

• Chủ quản nền tảng VSTEPUP: Bà TRƯƠNG THỊ THÙY LAN
• MST cá nhân: 051302000896
• Địa chỉ: 37B Đường 48, Phường Hiệp Bình, Thành phố Hồ Chí Minh
• Điện thoại/Zalo: 0963 135 703
• Email: vstepupvn@gmail.com