Chính Sách Bảo Mật & Quyền Riêng Tư

1. Giới thiệu

CyberKnight (Sigmabloom) ("chúng tôi", "dịch vụ") cam kết bảo vệ quyền riêng tư của trẻ em và người dùng. Chính sách này giải thích chúng tôi thu thập, sử dụng, lưu trữ và bảo vệ dữ liệu cá nhân như thế nào.

Đối tượng áp dụng: toàn bộ người dùng trang web https://<TEN_MIEN>, bao gồm phụ huynh và người giám hộ của trẻ em dưới 18 tuổi.

Liên hệ về vấn đề bảo mật dữ liệu: privacy@<TEN_MIEN>.

2. Dữ liệu thu thập

2.1. Dữ liệu tài khoản

• Email đăng ký, tên đăng nhập (username).
• Mật khẩu được băm (bcrypt) — chúng tôi không bao giờ lưu mật khẩu dạng gốc.
• Năm sinh (birthYear) — bắt buộc nhập khi đăng ký; yêu cầu ≥ 2010 (13+ tuổi).
• Vai trò tài khoản (người chơi thường, quản trị viên).
• OAuth profile (nếu đăng nhập qua Google/Facebook — chỉ thu thập email và tên hiển thị).

2.2. Dữ liệu thanh toán

Chúng tôi KHÔNG lưu trữ số thẻ ngân hàng, CVV hay mật khẩu thanh toán. Thông tin thanh toán do SePay và ngân hàng của bạn xử lý hoàn toàn.

Chúng tôi chỉ ghi nhận:

• Mã giao dịch (transaction_id) từ SePay.
• Số tiền chuyển khoản (amount).
• Trạng thái giao dịch (pending / paid / failed / underpaid).
• Thời điểm giao dịch.

2.3. Dữ liệu sử dụng dịch vụ

• Tiến độ màn chơi (level progress, scores, thời gian chơi từng level).
• Dữ liệu thiết bị cơ bản (loại trình duyệt, hệ điều hành) — chỉ dùng để hỗ trợ kỹ thuật.
• Device fingerprint để phát hiện tài khoản trùng lặp / gian lận (chỉ dùng hash, không lưu thông tin thiết bị gốc).

2.4. Dữ liệu trẻ em

Chúng tôi thu thập dữ liệu của trẻ em từ 13 tuổi trở lên (yêu cầu birthYear ≥ 2010). Theo Nghị định 13/2023/NĐ-CP, Điều 9, chúng tôi:

• Nghiêm cấm thu thập dữ liệu trẻ em dưới 7 tuổi.
• Với trẻ em từ 7–15 tuổi, yêu cầu sự đồng ý của phụ huynh/người giám hộ.
• Cung cấp cơ chế để phụ huynh yêu cầu xem, sửa hoặc xóa dữ liệu của con mình.

3. Mục đích sử dụng dữ liệu

Chúng tôi sử dụng dữ liệu cá nhân cho các mục đích sau:

• Cung cấp dịch vụ: tạo và quản lý tài khoản, mở khóa màn chơi trả phí.
• Xác thực & bảo mật: đăng nhập, phát hiện đăng nhập bất thường, chống gian lận.
• Thanh toán tự động: xác nhận giao dịch VietQR qua SePay webhook, kích hoạt quyền truy cập.
• Giao tiếp: gửi email xác nhận đơn hàng, thông báo bảo trì, hỗ trợ kỹ thuật.
• Cải thiện dịch vụ: phân tích anonymized để hiểu cách người dùng tương tác với game.
• Tuân thủ pháp luật: lưu trữ dữ liệu theo yêu cầu của cơ quan có thẩm quyền.

Chúng tôi không bán dữ liệu cá nhân cho bên thứ ba.

4. Cơ sở pháp lý

Việc xử lý dữ liệu cá nhân của chúng tôi dựa trên các cơ sở pháp lý sau:

• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân trong thương mại điện tử (có hiệu lực từ ngày 01/07/2023). Đây là cơ sở pháp lý chính cho thị trường Việt Nam.
• Luật An toàn thông tin mạng 2015 (Luật số 86/2015/QH13) — liên quan đến bảo vệ trẻ em trên không gian mạng.
• GDPR (General Data Protection Regulation — Quy định bảo vệ dữ liệu Liên minh Châu Âu): áp dụng nếu người dùng có địa chỉ IP hoặc tài khoản từ Khu vực Kinh tế Châu Âu (EEA). Cơ sở pháp lý cho GDPR: legitimate interest (lợi ích chính đáng) và performance of contract (thực hiện hợp đồng dịch vụ).
• Đồng ý của người dùng (consent): khi đăng ký tài khoản, người dùng đồng ý với Điều khoản sử dụng và Chính sách bảo mật này.

5. Lưu trữ & Bảo mật

5.1. Nơi lưu trữ

Toàn bộ dữ liệu cá nhân được lưu trữ tại cơ sở dữ liệu MySQL 8 đặt tại máy chủ ảo riêng (VPS) vật lý tại Việt Nam hoặc Singapore. Dữ liệu KHÔNG được chuyển ra ngoài lãnh thổ Việt Nam trừ khi được pháp luật cho phép.

5.2. Thời gian lưu trữ

• Tài khoản người dùng: lưu vĩnh viễn cho đến khi người dùng yêu cầu xóa.
• Dữ liệu thanh toán: lưu tối thiểu 5 năm theo quy định kế toán, thuế Việt Nam.
• Logs truy cập (server-side): lưu tối đa 90 ngày, sau đó tự động xóa.
• Dữ liệu phụ huynh/người giám hộ: lưu cùng thời hạn với tài khoản trẻ em được giám hộ.

5.3. Ai có quyền truy cập

• Quản trị viên hệ thống (admin): có quyền xem tài khoản và giao dịch để vận hành dịch vụ.
• Đội ngũ phát triển: chỉ truy cập khi cần hỗ trợ kỹ thuật, có log ghi nhận.
• SePay & ngân hàng: theo quy trình thanh toán VietQR tiêu chuẩn.
• Cơ quan có thẩm quyền: theo yêu cầu hợp pháp.

5.4. Biện pháp bảo mật kỹ thuật

• Mật khẩu băm bằng bcrypt (cost factor 12).
• JWT tokens với thời hạn ngắn (15 phút), lưu trong HttpOnly cookie.
• Rate limiting trên API để chống brute-force.
• HTTPS bắt buộc với TLS 1.2+ và HSTS.
• Backup database mã hóa, chỉ lưu trên máy chủ riêng.
• Phát hiện xâm nhập và giám sát logs tự động.

6. Quyền của người dùng

Bạn có các quyền sau đối với dữ liệu cá nhân của mình:

• Truy cập: yêu cầu xem toàn bộ dữ liệu cá nhân chúng tôi lưu về bạn. Gửi email kèm địa chỉ email đã đăng ký tới privacy@<TEN_MIEN> hoặc sử dụng form trực tuyến.
• Sửa đổi: yêu cầu chỉnh sửa thông tin không chính xác (ví dụ: năm sinh, email liên hệ).
• Xóa ("Quyền được lãng quên"): yêu cầu xóa tài khoản và toàn bộ dữ liệu cá nhân. Thời hạn xử lý: 72 giờ (hoặc 30 ngày nếu cần xác minh phức tạp). Lưu ý: dữ liệu kế toán/thuế sẽ được giữ theo quy định pháp luật.
• Rút consent: bạn có thể rút lại sự đồng ý bất kỳ lúc nào. Việc này không ảnh hưởng đến tính hợp lệ của xử lý đã thực hiện trước khi rút consent.
• Phản đối xử lý: yêu cầu ngừng sử dụng dữ liệu cho mục đích tiếp thị.
• Khiếu nại: nếu bạn cho rằng chúng tôi vi phạm quyền riêng tư, bạn có quyền khiếu nại tới Cục An toàn thông tin, Bộ Thông tin và Truyền thông.

Đối với trẻ em: Phụ huynh hoặc người giám hộ có quyền thay mặt trẻ em thực hiện các quyền trên. Vui lòng gửi yêu cầu kèm bằng chứng mối quan hệ giám hộ tới privacy@<TEN_MIEN>.

7. Bảo vệ trẻ em

CyberKnight là nền tảng giáo dục dành cho trẻ em Việt Nam. Chúng tôi áp dụng các biện pháp bảo vệ đặc biệt:

• Giới hạn độ tuổi: tài khoản chỉ được tạo khi người dùng khai báo năm sinh ≥ 2010 (13 tuổi trở lên). Người dưới 13 tuổi cần phụ huynh/người giám hộ đồng ý và hỗ trợ đăng ký.
• Cam kết theo Nghị định 13/2023/NĐ-CP, Điều 9: nghiêm cấm thu thập dữ liệu trẻ em dưới 7 tuổi mà không có sự đồng ý của cha mẹ/người giám hộ. Với trẻ em từ 7–15 tuổi, chúng tôi yêu cầu sự đồng ý rõ ràng của phụ huynh.
• Phụ huynh có quyền yêu cầu xóa toàn bộ dữ liệu của con mình bất kỳ lúc nào. Chúng tôi xử lý trong vòng 72 giờ.
• Nội dung game an toàn: game không chứa nội dung bạo lực, khiêu dâm hoặc thông tin cá nhân có thể bị lạm dụng.

8. Cookies & Công nghệ theo dõi

Trang web của chúng tôi sử dụng tối thiểu cookies cần thiết:

• Session Cookie (`PHPSESSID` / `connect.sid`): dùng để duy trì phiên đăng nhập. Tự động hết hạn khi đóng trình duyệt. Thuộc tính: HttpOnly, Secure (chỉ qua HTTPS), SameSite=Strict.
• CSRF Token Cookie: bảo vệ chống tấn công Cross-Site Request Forgery. HttpOnly (không truy cập được từ JavaScript).
• Level Access Cookie (`levelAccess`): HttpOnly cookie chứa JWT, cho phép truy cập các màn chơi trả phí đã mua. Tự động hết hạn sau 2 giờ.

Chúng tôi không dùng cookies quảng cáo, tracking cookies, hay bất kỳ cookies nào của bên thứ ba (Google Analytics, Facebook Pixel, v.v.).

9. Thay đổi Chính sách bảo mật

Chúng tôi có thể cập nhật Chính sách bảo mật này theo thời gian. Mọi thay đổi quan trọng (thu thập thêm dữ liệu, thay đổi mục đích sử dụng, chia sẻ với bên thứ ba mới) sẽ được:

• Thông báo qua email tới địa chỉ đã đăng ký của bạn ít nhất 30 ngày trước.
• Hiển thị thông báo banner nổi bật trên trang chủ trong 30 ngày liên tục.
• Cập nhật ngày "Cập nhật lần cuối" ở đầu trang này.

Nếu bạn không đồng ý với các thay đổi, bạn có quyền yêu cầu xóa tài khoản trước khi thay đổi có hiệu lực.