Chính sách bảo mật

"Chúng tôi" trong tài liệu này là đội ngũ vận hành OneMillionILETS ([điền tên pháp nhân/cá nhân đăng ký kinh doanh sau khi có]). Chúng tôi tôn trọng quyền riêng tư của bạn và cam kết bảo vệ dữ liệu cá nhân theo chính sách dưới đây.

Tuỳ theo cách bạn sử dụng Dịch vụ, chúng tôi có thể thu thập:

• Thông tin tài khoản: email, mật khẩu (được mã hoá một chiều bằng bcrypt — chúng tôi không bao giờ lưu hoặc nhìn thấy mật khẩu gốc), hoặc thông tin hồ sơ Google (tên, email, ảnh đại diện) nếu bạn đăng nhập bằng Google.
• Thông tin hồ sơ: tên hiển thị, số điện thoại (tuỳ chọn, chưa xác thực OTP), ảnh đại diện, mục tiêu band điểm, ngày dự thi.
• Dữ liệu học tập: câu trả lời, bài luận Writing, bản ghi âm Speaking, điểm số/nhận xét AI chấm, lịch sử làm bài, từ vựng đã lưu, tiến độ ôn tập.
• Dữ liệu sử dụng & kỹ thuật: địa chỉ IP, loại trình duyệt/thiết bị, thời điểm đăng nhập — phục vụ tính năng "lịch sử phiên đăng nhập" và bảo mật tài khoản.
• Dữ liệu giới thiệu & gói dịch vụ: mã giới thiệu bạn bè, trạng thái gói Free/PRO, lịch sử giao dịch (khi tính năng thanh toán chính thức hoạt động).

• Cung cấp, vận hành và cải thiện các tính năng luyện thi, chấm điểm AI, theo dõi tiến độ.
• Xác thực danh tính, bảo mật tài khoản, gửi email xác thực/đặt lại mật khẩu.
• Cá nhân hoá lộ trình học tập, gợi ý bài luyện phù hợp với điểm yếu của bạn.
• Hiển thị bảng xếp hạng (chỉ khi bạn không chọn ẩn/opt-out trong phần cài đặt riêng tư).
• Liên hệ hỗ trợ, thông báo thay đổi quan trọng về Dịch vụ hoặc chính sách.

Chúng tôi KHÔNG bán dữ liệu cá nhân của bạn. Dữ liệu chỉ được chia sẻ với:

• Nhà cung cấp AI (OpenAI, Anthropic, Google Gemini): nội dung bài Writing, bản ghi âm/transcript Speaking được gửi tới API của nhà cung cấp bạn (hoặc admin hệ thống) đã cấu hình, nhằm mục đích chấm điểm và tạo nhận xét tự động. Các nhà cung cấp này xử lý dữ liệu theo chính sách riêng của họ.
• Google (đăng nhập OAuth): nếu bạn chọn đăng nhập bằng Google, chúng tôi nhận email/tên/ảnh đại diện công khai từ Google theo sự cho phép của bạn.
• Nhà cung cấp dịch vụ email (SMTP): để gửi email xác thực tài khoản và đặt lại mật khẩu.
• Cơ quan nhà nước có thẩm quyền: khi có yêu cầu hợp pháp theo quy định pháp luật.

Lưu ý: một số nhà cung cấp AI ở trên đặt máy chủ ngoài lãnh thổ Việt Nam, nghĩa là dữ liệu bài làm của bạn có thể được truyền và xử lý ở nước ngoài trong quá trình chấm điểm AI.

OneMillionILETS lưu token đăng nhập (access/refresh token) và một số tuỳ chọn giao diện (chế độ sáng/tối) trong localStorage của trình duyệt bạn — không dùng cookie theo dõi quảng cáo của bên thứ ba.

• Mật khẩu được băm (hash) một chiều bằng bcrypt, không lưu trữ dạng văn bản thô.
• Phiên đăng nhập dùng JWT (access token ngắn hạn) + refresh token được băm SHA-256 trước khi lưu database.
• API key của các nhà cung cấp AI (do quản trị viên cấu hình) được mã hoá AES-256-GCM trước khi lưu, không hiển thị dạng đầy đủ trên giao diện quản trị.
• Toàn bộ endpoint cần đăng nhập đều xác thực bằng chữ ký JWT thay vì thông tin client tự khai.

Dù áp dụng các biện pháp trên, không có hệ thống nào an toàn tuyệt đối 100%. Chúng tôi nỗ lực bảo vệ dữ liệu của bạn nhưng không thể đảm bảo an toàn tuyệt đối trước mọi rủi ro.

Chúng tôi lưu giữ dữ liệu cá nhân trong suốt thời gian tài khoản của bạn còn hoạt động, để phục vụ mục đích cung cấp Dịch vụ. Sau khi tài khoản bị xoá theo yêu cầu, dữ liệu định danh cá nhân sẽ được xoá hoặc ẩn danh hoá trong thời gian hợp lý, trừ khi pháp luật yêu cầu lưu giữ lâu hơn (ví dụ hồ sơ giao dịch thanh toán).

• Truy cập và chỉnh sửa thông tin hồ sơ trực tiếp tại trang Hồ sơ cá nhân.
• Bật/tắt hiển thị trên bảng xếp hạng, hoặc ẩn danh hoá tên hiển thị (mục Cài đặt riêng tư).
• Yêu cầu xuất, chỉnh sửa, hoặc xoá dữ liệu cá nhân — hiện tại vui lòng gửi yêu cầu qua email liên hệ ở mục 12 (tính năng tự xoá tài khoản trực tiếp trên giao diện đang được phát triển).
• Rút lại sự đồng ý xử lý dữ liệu bất kỳ lúc nào bằng cách ngừng sử dụng Dịch vụ và yêu cầu xoá tài khoản.

Dịch vụ không hướng đến trẻ em dưới 13 tuổi và chúng tôi không chủ ý thu thập dữ liệu từ nhóm tuổi này. Người dùng từ 13 đến dưới 18 tuổi nên có sự đồng ý và giám sát của phụ huynh/ người giám hộ khi tạo tài khoản.

Chúng tôi có thể cập nhật Chính sách bảo mật theo thời gian. Phiên bản mới sẽ được đăng tại trang này kèm ngày cập nhật. Với thay đổi quan trọng ảnh hưởng đến quyền lợi của bạn, chúng tôi sẽ cố gắng thông báo qua email đã đăng ký.

Nếu có câu hỏi về Chính sách bảo mật, hoặc muốn thực hiện quyền của bạn theo mục 8, vui lòng liên hệ: [điền email hỗ trợ sau khi có tên miền chính thức].