Chính sách riêng tư

Có hai vai trò khác nhau, và điều này quyết định bạn hỏi ai khi cần:

• Dữ liệu tài khoản của bạn (email, tên, mật khẩu, thiết bị đăng nhập) — TilioClass quyết định cách xử lý.
• Dữ liệu học sinh bạn nhập vào (tên, ngày sinh, liên hệ phụ huynh, điểm danh, học phí) — bạn là người quyết định, chúng tôi chỉ lưu giữ và xử lý theo thao tác của bạn. Phụ huynh muốn xem, sửa hay xoá thông tin của con thì liên hệ trực tiếp giáo viên hoặc trung tâm, không phải chúng tôi.

Tài khoản của bạn: email, tên đăng nhập, họ tên, số điện thoại, ngày sinh, ảnh đại diện, email khôi phục, vai trò. Mật khẩu không được lưu ở dạng đọc được — chỉ lưu chuỗi băm bcrypt, chúng tôi không có cách nào biết mật khẩu của bạn.

Dữ liệu nghiệp vụ bạn nhập: lớp học, học sinh (họ tên, ngày sinh, điện thoại, email, địa chỉ, tên phụ huynh, ghi chú), buổi học, điểm danh, điểm số, nhật ký học tập, học phí và giao dịch thanh toán, bảng lương trợ giảng, sổ chi phí, ngày lễ, phần thưởng.

Tệp đính kèm: ảnh đại diện, ảnh trong nhật ký học tập, chứng từ chi phí, ảnh phần thưởng. Các tệp này nằm trong thư mục dữ liệu của máy chủ, không đưa lên dịch vụ lưu trữ nào khác.

Dữ liệu kỹ thuật để bảo mật: mỗi lần đăng nhập chúng tôi ghi lại loại thiết bị, trình duyệt, hệ điều hành, địa chỉ IP và chuỗi user-agent, để bạn xem được danh sách thiết bị đang đăng nhập và đăng xuất từ xa khi thấy lạ. Nhật ký thao tác ghi ai đã làm gì với dữ liệu nào và vào lúc nào.

Khi máy chủ chạy trong mạng nội bộ, địa chỉ trình duyệt gửi lên chỉ là dạng 192.168.x.x nên không nói được gì. Trường hợp đó hệ thống hỏi một trong hai dịch vụ công khai api.ipify.org hoặc ifconfig.me để lấy địa chỉ IP công cộng của mạng. Yêu cầu này chỉ hỏi “IP của tôi là gì”, không gửi kèm bất kỳ dữ liệu nào của bạn hay học sinh.

• Vận hành đúng các chức năng bạn dùng: xếp lịch, điểm danh, tính học phí, chốt lương, in phiếu thu.
• Xác thực đăng nhập và giữ phiên làm việc.
• Cảnh báo khi có đăng nhập từ thiết bị lạ, và cho bạn đăng xuất thiết bị đó từ xa.
• Ghi nhật ký thao tác để truy được nguồn khi số liệu sai lệch.
• Xử lý thanh toán gói cước và gia hạn.

Chúng tôi không bán dữ liệu, không dùng dữ liệu của bạn hay của học sinh để chạy quảng cáo, và không huấn luyện mô hình trí tuệ nhân tạo trên đó.

Nếu bạn chọn cách đăng nhập này, chúng tôi chỉ nhận và lưu: mã định danh của bạn ở nhà cung cấp đó, địa chỉ email, họ tên và ảnh đại diện. Ảnh được tải về một lần để làm ảnh đại diện trong ứng dụng; nếu bạn đã tự đặt ảnh khác thì chúng tôi giữ ảnh của bạn.

Chúng tôi không nhận mật khẩu của bạn ở các dịch vụ đó, và không truy cập danh bạ, bài đăng hay hộp thư của bạn. Bạn gỡ liên kết bất cứ lúc nào ở Cài đặt → Thông tin cá nhân → Tài khoản liên kết.

Khi bạn tự bấm kết nối, chúng tôi xin quyền ghi sự kiện lịch và lưu mã truy cập (access token, refresh token) để đẩy buổi học sang. Cụ thể:

• Quyền xin: https://www.googleapis.com/auth/calendar.events với Google, Calendars.ReadWrite với Microsoft.
• Dữ liệu gửi đi: tên buổi học, tên lớp, ngày giờ bắt đầu và kết thúc, ghi chú buổi học. Không gửi tên học sinh, điểm số hay học phí.
• Phạm vi: các buổi trong khoảng 30 ngày trước tới 120 ngày tới.
• Đồng bộ một chiều — chúng tôi chỉ ghi những sự kiện do chính ứng dụng tạo ra, không đọc và không đụng tới sự kiện khác trong lịch của bạn.
• Ngắt kết nối bất cứ lúc nào ở Thời khoá biểu → Đồng bộ lịch → Ngắt. Khi đó mã truy cập bị xoá khỏi hệ thống.

Tuân thủ Chính sách dữ liệu người dùng dịch vụ API của Google. Việc TilioClass sử dụng thông tin nhận được từ các API của Google tuân theo Google API Services User Data Policy, bao gồm cả các yêu cầu Sử dụng giới hạn (Limited Use). Chúng tôi không chuyển dữ liệu Google cho bên thứ ba trừ khi cần để cung cấp chính tính năng bạn yêu cầu, không dùng dữ liệu đó cho quảng cáo, và không để người khác đọc dữ liệu đó ngoài các trường hợp bạn cho phép rõ ràng, phục vụ mục đích bảo mật, hoặc theo yêu cầu của pháp luật.

Dữ liệu chỉ rời khỏi hệ thống trong bốn trường hợp sau, và đều do chính bạn khởi động:

• Link phiếu thu gửi phụ huynh. Khi bạn tạo link, người có link xem được phiếu học phí của đúng một học sinh trong đúng một tháng, kèm mã chuyển khoản. Không cần đăng nhập, và không xem được gì khác. Bạn thu hồi link bất cứ lúc nào, link cũ chết ngay.
• Lịch bên ngoài — như mục 5.
• Máy chủ email. Nếu người vận hành có cấu hình SMTP, thư xác minh và đặt lại mật khẩu đi qua máy chủ đó. Chưa cấu hình thì thư nằm lại trong cơ sở dữ liệu, không gửi đi đâu.
• Đối soát thanh toán gói cước. Nếu người vận hành nối một dịch vụ đọc biến động số dư ngân hàng, dịch vụ đó gửi cho chúng tôi nội dung chuyển khoản để tự động gia hạn. Chiều ngược lại chúng tôi không gửi dữ liệu học sinh cho họ.

Trang web không nhúng công cụ đo lường, quảng cáo hay theo dõi của bên thứ ba nào — không Google Analytics, không pixel Facebook.

Chỉ ba cookie, đều là cookie kỹ thuật bắt buộc, không dùng để theo dõi:

• tilio_session — giữ phiên đăng nhập, hạn 30 ngày.
• tilio_otp — bước xác thực hai lớp, sống vài phút.
• tilio_oauth_state — chống giả mạo yêu cầu khi đăng nhập bằng Google/Facebook/Outlook, sống 10 phút.

Dữ liệu nằm trong một tệp cơ sở dữ liệu trên máy chủ do người vận hành TilioClass quản lý, cùng thư mục tệp đính kèm. Không sao chép sang dịch vụ đám mây nào khác.

• Dữ liệu nghiệp vụ: giữ đến khi bạn tự xoá hoặc xoá tài khoản.
• Nhật ký thao tác: tự động xoá phần cũ hơn 30 ngày.
• Phiên đăng nhập: xoá khi bạn đăng xuất hoặc thu hồi thiết bị.
• Xoá tài khoản: toàn bộ lớp, học sinh, buổi học, điểm danh, học phí và tệp đính kèm bị xoá theo, không khôi phục được.

• Lấy bản sao. Cài đặt → Thông tin cá nhân → Tải dữ liệu. Tệp JSON gồm toàn bộ lớp, học sinh, buổi học, điểm danh, học phí, lương, chi phí và thành tích. Không kèm mật khẩu hay cookie.
• Sửa. Mọi thông tin đều sửa được ngay trong ứng dụng.
• Xoá. Cài đặt → Xoá tài khoản. Nên tải bản sao trước.
• Rút lại quyền đã cấp. Gỡ liên kết đăng nhập hoặc ngắt kết nối lịch bất cứ lúc nào; với Google bạn còn có thể thu hồi tại myaccount.google.com/permissions.

Mật khẩu băm bằng bcrypt. Phiên đăng nhập ký bằng khoá bí mật của máy chủ và đặt trong cookie HttpOnly nên mã JavaScript trên trang không đọc được. Có xác thực hai lớp bằng mã OTP, cảnh báo đăng nhập lạ, phân quyền chi tiết cho trợ giảng và nhật ký thao tác.

Không hệ thống nào an toàn tuyệt đối. Hãy đặt mật khẩu riêng, bật xác thực hai lớp, và tải bản sao dữ liệu định kỳ.

Học sinh không có tài khoản trong TilioClass. Thông tin về các em do giáo viên hoặc trung tâm nhập vào và chịu trách nhiệm, kể cả việc xin phép phụ huynh khi pháp luật yêu cầu.

Khi có thay đổi đáng kể, chúng tôi cập nhật ngày ở đầu trang và thông báo trong ứng dụng. Tiếp tục sử dụng sau đó nghĩa là bạn đồng ý với nội dung mới.