1. KK là ai (Bên kiểm soát dữ liệu)

KK (sau đây gọi là “chúng tôi”, “KK” hoặc “trang”) là thương hiệu giáo dục tiền điện tử đa ngôn ngữ, hoạt động tại địa chỉ kkinvesting.io. Theo Nghị định 13/2023/NĐ-CP, Bên kiểm soát dữ liệu cá nhân (Data Controller) trong chính sách này là đội ngũ điều hành trang, liên hệ qua email [email protected].

2. Dữ liệu KK thu thập

KK nhận dữ liệu cá nhân của bạn qua ba kênh:

• Thu thập tự động (dữ liệu kỹ thuật): địa chỉ IP, loại và phiên bản trình duyệt, hệ điều hành, thời điểm truy cập, thời gian dừng, trang đã xem, referrer, độ phân giải màn hình. Dữ liệu đến từ nhật ký máy chủ và Google Analytics 4 / Cloudflare Web Analytics.
• Cookie và bộ nhớ cục bộ: dùng cho tùy chọn ngôn ngữ, trạng thái đồng ý, thống kê lưu lượng, quy kết quảng cáo (xem chi tiết ở Mục 6).
• Bạn chủ động cung cấp: họ tên, email, nội dung tin nhắn khi bạn gửi email hoặc liên hệ qua biểu mẫu; email khi bạn đăng ký nhận bản tin.

KK không thu thập: thông tin thẻ tín dụng hay tài khoản ngân hàng, khóa riêng tư của ví crypto, ảnh scan CCCD/CMND/hộ chiếu. Bất kỳ email nào yêu cầu bạn cung cấp các thông tin này đều không phải từ KK — vui lòng báo cáo ngay tới [email protected].

3. Mục đích sử dụng dữ liệu

• Cung cấp nội dung và bản địa hóa ngôn ngữ
• Phân tích lưu lượng và hành vi người dùng để cải thiện nội dung cùng trải nghiệm
• Phản hồi thư, câu hỏi hoặc đề xuất hợp tác của bạn
• Gửi bản tin email mà bạn đã đăng ký (mỗi thư đều kèm liên kết hủy đăng ký)
• Phát hiện và ngăn chặn hành vi lạm dụng, lừa đảo, tấn công tự động
• Tuân thủ nghĩa vụ pháp lý (yêu cầu của cơ quan quản lý, tố tụng)

KK không bán dữ liệu cá nhân của bạn cho bên thứ ba. KK không dùng dữ liệu cá nhân của bạn để huấn luyện mô hình AI.

4. Cơ sở pháp lý (Nghị định 13 & GDPR)

Với người dùng tại Việt Nam, KK xử lý dữ liệu cá nhân dựa trên các nguyên tắc của Nghị định 13/2023/NĐ-CP — hợp pháp, công khai minh bạch, đúng mục đích, hạn chế tối thiểu, chính xác, bảo mật và thời hạn phù hợp:

• Có sự đồng ý của chủ thể: Cookie phân tích/quảng cáo và đăng ký bản tin — bạn có quyền rút lại bất cứ lúc nào.
• Thực hiện hợp đồng / yêu cầu của chủ thể: Phản hồi câu hỏi, đề xuất hợp tác mà bạn chủ động gửi.
• Thực hiện nghĩa vụ pháp lý: Đáp ứng yêu cầu hợp pháp của cơ quan quản lý nhà nước.
• Bảo vệ lợi ích chính đáng: An toàn trang web, chống lừa đảo, nhật ký kỹ thuật cơ bản.

Với người dùng tại EEA, Vương quốc Anh, Thụy Sĩ, KK đồng thời áp dụng GDPR Điều 6: (a) sự đồng ý; (b) thực hiện hợp đồng; (c) nghĩa vụ pháp lý; (f) lợi ích hợp pháp.

5. Bên thứ ba nhận dữ liệu

KK hợp tác với các bên xử lý dữ liệu (Processor) sau. Họ chỉ xử lý dữ liệu theo chỉ dẫn của KK và bị ràng buộc bởi chính sách quyền riêng tư của chính họ:

• Google Analytics 4 (Google LLC): phân tích lưu lượng truy cập (đã bật ẩn danh địa chỉ IP)
• Cloudflare, Inc.: CDN, chống DDoS, Web Analytics
• WordPress / Automattic: hạ tầng vận hành website
• Chương trình affiliate của thương hiệu crypto: khi bạn bấm vào link giới thiệu để đăng ký, thương hiệu đối tác sẽ nhận thông tin quy kết (thường là ID nhấp chuột ẩn danh), nhưng không nhận dữ liệu bạn điền trên biểu mẫu của KK

KK không chia sẻ thông tin liên hệ của bạn và danh sách email đăng ký bản tin cho các đối tác affiliate này.

6. Cookie và công nghệ tương tự

• Cookie thiết yếu (Strictly Necessary): duy trì các chức năng cơ bản như chuyển ngôn ngữ Polylang, trạng thái đồng ý — không thể tắt.
• Cookie phân tích (Analytics): Google Analytics, Cloudflare Web Analytics — chỉ bật sau khi bạn đồng ý.
• Cookie tùy chọn (Preferences): ghi nhớ chế độ nền tối, kích cỡ chữ và các tùy chọn khác.
• Cookie quảng cáo / quy kết: theo dõi nhấp chuột affiliate (chủ yếu là first-party).

Bạn có thể quản lý cookie qua thiết lập trình duyệt, công cụ đồng ý cookie của KK (sẽ bật lên khi bạn truy cập lần đầu) hoặc qua tín hiệu “Do Not Track / Global Privacy Control” của hệ điều hành. Tắt cookie phân tích hoặc tùy chọn không ảnh hưởng đến việc đọc bài, nhưng một số tính năng (ví dụ ghi nhớ ngôn ngữ) có thể cần cài lại.

7. Chuyển giao dữ liệu xuyên biên giới

Máy chủ và một số bên xử lý dữ liệu của KK đặt tại Mỹ, Liên minh châu Âu và khu vực châu Á – Thái Bình Dương. Theo Nghị định 13/2023/NĐ-CP Điều 25, việc chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài cần có Đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và được gửi cho Cục An toàn thông tin (Bộ Thông tin và Truyền thông). KK cam kết hoàn thành hồ sơ DPIA và hồ sơ TIA theo yêu cầu.

Đối với dữ liệu truyền từ EEA/Vương quốc Anh tới quốc gia chưa được công nhận “mức bảo vệ đầy đủ”, KK áp dụng Điều khoản hợp đồng chuẩn EU (SCCs) hoặc biện pháp bảo vệ tương đương. Bạn có thể gửi thư yêu cầu bản sao SCCs.

8. Thời hạn lưu trữ

• Nhật ký máy chủ: 14 ngày
• Dữ liệu người dùng và sự kiện Google Analytics: 14 tháng
• Thư liên hệ: lưu 24 tháng sau khi xử lý xong để làm hồ sơ chăm sóc độc giả
• Đăng ký bản tin: đến khi bạn hủy đăng ký; sau đó KK giữ lại bản ghi hủy để tuân thủ quy định chống thư rác

9. Quyền của chủ thể dữ liệu

Nghị định 13/2023/NĐ-CP (Việt Nam): Điều 9 quy định chủ thể dữ liệu cá nhân có 11 quyền — quyền được biết; quyền đồng ý; quyền truy cập; quyền rút lại sự đồng ý; quyền xóa dữ liệu; quyền hạn chế xử lý; quyền cung cấp dữ liệu; quyền phản đối xử lý; quyền khiếu nại, tố cáo, khởi kiện; quyền yêu cầu bồi thường thiệt hại; quyền tự bảo vệ.

GDPR (EEA / Vương quốc Anh / Thụy Sĩ): truy cập, chỉnh sửa, xóa, hạn chế xử lý, khả năng di chuyển dữ liệu, phản đối, từ chối quyết định hoàn toàn tự động, rút lại sự đồng ý, khiếu nại cơ quan giám sát (ví dụ DPC Ireland).

CCPA/CPRA (cư dân California): quyền được biết, xóa, chỉnh sửa, chọn không tham gia (KK không bán dữ liệu cá nhân, nhưng bạn vẫn có thể từ chối việc “chia sẻ” dữ liệu cho quảng cáo cá nhân hóa chéo trang), không bị phân biệt đối xử. Vị thành niên dưới 16 tuổi tại California áp dụng cơ chế opt-in.

Để thực hiện bất kỳ quyền nào ở trên, bạn gửi email về [email protected]. KK sẽ phản hồi trong vòng 30 ngày; trường hợp phức tạp có thể kéo dài tới 60 ngày và sẽ thông báo trước cho bạn.

10. Quyền riêng tư của trẻ em

Nội dung trên trang dành cho người lớn từ 18 tuổi trở lên. Theo Nghị định 13/2023/NĐ-CP Điều 20, KK không chủ động thu thập dữ liệu cá nhân của trẻ em dưới 16 tuổi; cũng tuân thủ quy định GDPR (dưới 16 tuổi tại EEA) và COPPA (dưới 13 tuổi tại Mỹ). Nếu bạn là cha mẹ và cho rằng con bạn đã cung cấp dữ liệu cho KK, vui lòng liên hệ — đội ngũ sẽ xóa trong vòng 72 giờ.

11. An toàn dữ liệu

KK áp dụng biện pháp kỹ thuật và tổ chức hợp lý để bảo vệ dữ liệu của bạn, gồm HTTPS/TLS 1.3 toàn site, Cloudflare WAF, xác thực hai yếu tố cho quản trị viên, nguyên tắc quyền tối thiểu, kiểm thử xâm nhập định kỳ. Tuy nhiên, không có hệ thống truyền tải hoặc lưu trữ mạng nào an toàn tuyệt đối. Khi xảy ra sự cố rò rỉ dữ liệu, KK sẽ thông báo cho Cục An toàn thông tin (Bộ Thông tin và Truyền thông) theo Luật An ninh mạng 2018 và Nghị định 13, đồng thời thông báo cho cơ quan giám sát GDPR trong vòng 72 giờ nếu có người dùng EEA bị ảnh hưởng, và thông báo trực tiếp cho người dùng khi cần.

12. Thay đổi chính sách

Chính sách này có thể được cập nhật khi luật pháp thay đổi hoặc dịch vụ điều chỉnh. Các thay đổi lớn sẽ được đánh dấu ở “Ngày cập nhật gần nhất” phía trên trang này và được công bố trên trang chủ hoặc bản tin. Bạn nên kiểm tra lại ít nhất một lần mỗi năm.

13. Liên hệ & khiếu nại cơ quan có thẩm quyền

Bạn có thắc mắc về chính sách, muốn thực hiện quyền của mình, hoặc phát hiện sự cố liên quan đến quyền riêng tư?

• Hỏi đáp về quyền riêng tư: [email protected]
• Đầu mối bảo vệ dữ liệu (DPO): [email protected]
• Liên hệ chung: Trang liên hệ KK

Nếu bạn cho rằng quyền của mình bị xâm phạm mà KK chưa xử lý thỏa đáng, bạn có thể khiếu nại lên Cục An toàn thông tin — Bộ Thông tin và Truyền thông (MIC), số 18 Nguyễn Du, Hai Bà Trưng, Hà Nội, hoặc gửi tới cơ quan bảo vệ dữ liệu tại khu vực bạn cư trú (ví dụ DPC Ireland cho người dùng EEA, CPPA cho cư dân California).