Điều 1. Phạm vi áp dụng
Chính sách này áp dụng đối với hoạt động xử lý dữ liệu cá nhân phát sinh từ việc người dùng tạo tài khoản, sử dụng website và API, tạo Case, gửi tin nhắn, tải tài liệu, sử dụng chức năng AI, thực hiện giao dịch hoặc liên hệ với Nexus.
Nexus thực hiện hoạt động xử lý dữ liệu cá nhân phù hợp với pháp luật Việt Nam hiện hành về bảo vệ dữ liệu cá nhân và các quy định pháp luật khác có liên quan.
Điều 2. Bên chịu trách nhiệm xử lý dữ liệu
Đơn vị vận hành Nexus và chịu trách nhiệm đối với hoạt động xử lý dữ liệu được quy định trong Chính sách này là Nexus for Startup, sử dụng tên thương mại Nexus Platform.
Đầu mối tiếp nhận yêu cầu liên quan đến dữ liệu cá nhân là phungluuhoanglong@gmail.com.
Điều 3. Dữ liệu tài khoản
Trong quá trình tạo và sử dụng tài khoản, Nexus có thể xử lý họ tên hoặc tên hiển thị, địa chỉ email, username, ảnh đại diện, vai trò tài khoản, trạng thái xác minh email và các thông tin cần thiết cho quá trình xác thực.
Trường hợp người dùng đăng nhập bằng Google, Nexus có thể xử lý các thông tin xác thực cần thiết để duy trì kết nối với tài khoản Google. Trường hợp người dùng thiết lập mật khẩu, Nexus lưu trữ thông tin xác thực dưới dạng được hệ thống bảo vệ thay vì lưu mật khẩu dưới dạng văn bản thuần túy.
Nexus cũng xử lý một số thông tin kỹ thuật của phiên đăng nhập, bao gồm địa chỉ IP và User-Agent.
Điều 4. Dữ liệu Case và dự án
Khi người dùng tạo hoặc tham gia một Case, Nexus có thể xử lý các thông tin như tên nhóm, trường, bối cảnh học tập hoặc dự án, số nhóm, deadline và các thông tin mô tả dự án.
Dữ liệu dự án có thể bao gồm tên dự án, vấn đề cần giải quyết, giải pháp, nhóm khách hàng mục tiêu, MVP, thông tin về kỹ năng hoặc kinh nghiệm của thành viên, nội dung intake, các bản sửa đổi, tài liệu đính kèm, kết quả đánh giá và báo cáo do hệ thống tạo ra.
Phạm vi cụ thể của dữ liệu phụ thuộc vào nội dung mà người dùng chủ động cung cấp.
Điều 5. Dữ liệu trao đổi
Nexus lưu trữ nội dung trao đổi giữa người dùng và Supporter trong Case, bao gồm nội dung tin nhắn, thời điểm gửi, trạng thái đã đọc và các thông tin liên quan đến việc gửi thông báo.
Tin nhắn hiện không có cơ chế tự động xóa hoặc tự động hết hạn sau một khoảng thời gian cố định.
Điều 6. Dữ liệu thanh toán
Khi người dùng thực hiện giao dịch trên Nexus, hệ thống có thể xử lý số tiền nạp, nội dung chuyển khoản, mã giao dịch ngân hàng do hệ thống đối soát cung cấp, thời điểm ghi nhận giao dịch, chứng từ thanh toán do người dùng tải lên, Số dư Nexus, đơn hàng và lịch sử Credit.
Flow thanh toán hiện tại không thu thập thông tin thẻ tín dụng hoặc mã CVV.
Nexus hiện không cung cấp chức năng rút Số dư Nexus về tài khoản ngân hàng và không thu thập CCCD hoặc hộ chiếu cho mục đích rút tiền.
Điều 7. Dữ liệu kỹ thuật và nhật ký hệ thống
Để duy trì hoạt động, bảo mật và xử lý lỗi, Nexus có thể xử lý địa chỉ IP, User-Agent, thông tin phiên đăng nhập, mã truy vết yêu cầu, request log, error log và audit log.
Tại thời điểm Chính sách này được ban hành, ứng dụng Nexus không tích hợp các nền tảng phân tích hành vi như Google Analytics, PostHog, Mixpanel hoặc Hotjar và không sử dụng dữ liệu người dùng cho quảng cáo hành vi.
Trường hợp Nexus bổ sung các công nghệ tracking mới làm thay đổi đáng kể hoạt động xử lý dữ liệu, Nexus sẽ cập nhật Chính sách này và áp dụng cơ chế thông báo hoặc xin sự đồng ý phù hợp khi pháp luật yêu cầu.
Điều 8. Mục đích xử lý dữ liệu
Nexus xử lý dữ liệu cá nhân nhằm tạo và quản lý tài khoản, xác thực người dùng, quản lý phiên đăng nhập, bảo vệ tài khoản, tạo và vận hành Case, lưu trữ tài liệu, phân công Supporter, cung cấp chức năng AI, tạo báo cáo, cung cấp chat, gửi thông báo, xử lý giao dịch, quản lý Số dư Nexus và Credit, phát hiện lỗi, ngăn chặn hành vi lạm dụng, hỗ trợ người dùng, giải quyết tranh chấp và thực hiện nghĩa vụ pháp luật.
Nexus không bán dữ liệu cá nhân của người dùng.
Điều 9. Xử lý dữ liệu bằng trí tuệ nhân tạo
Một số chức năng của Nexus gửi dữ liệu dự án tới hệ thống AI để phân tích.
Đối với chức năng đánh giá mức độ phù hợp giữa nhóm và ý tưởng, Nexus có thể gửi thông tin mô tả ý tưởng, vấn đề, giải pháp, khách hàng, MVP, kỹ năng và kinh nghiệm của nhóm tới Google Gemini để tạo kết quả đánh giá. Tên và email người dùng không được chủ đích đưa vào prompt của flow này.
Đối với quy trình audit chuyên sâu, Nexus tập hợp nội dung intake, báo cáo Team–Idea Fit nếu có và các tài liệu người dùng tải lên trong môi trường xử lý dành cho tác vụ AI. Hệ thống agent sau đó được yêu cầu đọc các dữ liệu này để thực hiện phân tích.
Nhà cung cấp mô hình cụ thể của quy trình audit chuyên sâu phụ thuộc vào cấu hình production tại thời điểm xử lý. Nexus chỉ công bố tên nhà cung cấp cụ thể khi cấu hình production đã được xác nhận.
Nexus không tuyên bố rằng mọi nhà cung cấp AI đều không lưu giữ hoặc không sử dụng dữ liệu để cải thiện mô hình nếu chưa có căn cứ kỹ thuật, điều khoản dịch vụ hoặc thỏa thuận phù hợp để xác nhận điều đó.
Điều 10. Nhà cung cấp dịch vụ
Trong phạm vi cần thiết để vận hành Nexus, dữ liệu có thể được xử lý bởi một số nhà cung cấp dịch vụ bên ngoài.
Google được sử dụng cho đăng nhập Google và một số chức năng AI thông qua Gemini. Cloudinary được sử dụng để lưu trữ một số tài liệu, ảnh đại diện và chứng từ thanh toán. Resend được sử dụng để gửi OTP và email giao dịch. SePay được sử dụng để hỗ trợ đối soát giao dịch chuyển khoản. Telegram có thể được sử dụng để gửi một số thông báo vận hành cho Admin hoặc Supporter.
Đối với quy trình audit chuyên sâu, một nhà cung cấp mô hình AI khác có thể được sử dụng tùy theo cấu hình production tại thời điểm chạy.
Nexus chỉ chia sẻ dữ liệu trong phạm vi cần thiết cho mục đích cung cấp dịch vụ tương ứng.
Điều 11. Xử lý dữ liệu ngoài lãnh thổ Việt Nam
Một số nhà cung cấp công nghệ mà Nexus sử dụng có thể vận hành hạ tầng tại quốc gia khác Việt Nam. Vì vậy, trong một số trường hợp dữ liệu có thể được truyền hoặc xử lý ngoài lãnh thổ Việt Nam.
Khi hoạt động chuyển hoặc xử lý dữ liệu thuộc trường hợp pháp luật yêu cầu thực hiện thủ tục hoặc biện pháp bảo vệ cụ thể, Nexus có trách nhiệm thực hiện nghĩa vụ tương ứng theo quy định.
Điều 12. Quyền truy cập dữ liệu
Người dùng chỉ được truy cập các Case thuộc quyền của mình hoặc Case mà mình được phép tham gia.
Supporter chỉ được truy cập các Case được phân công cho mình.
Admin có quyền truy cập rộng hơn khi cần để quản trị tài khoản, xử lý Case, phân công Supporter, kiểm tra giao dịch, hỗ trợ người dùng, giải quyết tranh chấp, điều tra sự cố hoặc bảo vệ hệ thống.
Trong phạm vi nhiệm vụ được giao, Admin có thể truy cập hồ sơ tài khoản, nội dung Case, tài liệu, tin nhắn và dữ liệu giao dịch.
Điều 13. Lưu trữ tệp
Nexus sử dụng Cloudinary để lưu trữ một số loại tệp do người dùng tải lên.
Hệ thống áp dụng giới hạn định dạng và dung lượng tùy theo loại tài liệu. Việc một bản ghi liên quan đến Case hoặc tài khoản bị xóa khỏi cơ sở dữ liệu không mặc nhiên đồng nghĩa bản sao tương ứng trên hệ thống lưu trữ bên ngoài bị xóa ngay tại cùng thời điểm.
Người dùng có quyền liên hệ Nexus để yêu cầu xem xét việc xóa dữ liệu hoặc tệp cụ thể theo quy định tại Chính sách này và pháp luật áp dụng.
Điều 14. Thời gian lưu trữ dữ liệu
Nexus lưu dữ liệu trong khoảng thời gian cần thiết để thực hiện mục đích xử lý và các mục đích hợp pháp liên quan.
Hệ thống hiện tại không áp dụng một thời hạn chung cho tất cả các loại dữ liệu. Tài khoản không tự động hết hạn; Case và tin nhắn không tự động bị xóa theo một thời hạn chung; Số dư Nexus và Credit không có cơ chế tự động hết hạn; dữ liệu giao dịch được duy trì để phục vụ đối soát và quản lý hồ sơ; log kỹ thuật được lưu phục vụ hoạt động vận hành và xử lý sự cố.
Các nội dung trên mô tả cơ chế hiện tại và không được hiểu là cam kết lưu giữ dữ liệu vô thời hạn.
Điều 15. Xóa tài khoản
Khi người dùng thực hiện chức năng xóa tài khoản, Nexus vô hiệu hóa tài khoản, ẩn danh hóa các thông tin định danh chính, xóa các phiên đăng nhập và xóa các liên kết tài khoản xác thực liên quan.
Case, tin nhắn, báo cáo, giao dịch, Credit và một số tài liệu liên quan không nhất thiết bị xóa đồng thời với tài khoản.
Nexus có thể tiếp tục lưu giữ dữ liệu khi việc lưu giữ cần thiết để duy trì tính toàn vẹn của hồ sơ giao dịch, bảo vệ quyền của các bên, giải quyết tranh chấp, duy trì dữ liệu liên quan tới thành viên khác trong Case hoặc thực hiện nghĩa vụ pháp luật.
Điều 16. Quyền của chủ thể dữ liệu
Trong phạm vi pháp luật áp dụng, người dùng có quyền yêu cầu được biết về hoạt động xử lý dữ liệu, yêu cầu truy cập hoặc chỉnh sửa dữ liệu cá nhân, rút lại sự đồng ý đối với hoạt động xử lý dựa trên sự đồng ý, yêu cầu hạn chế hoặc phản đối xử lý trong trường hợp pháp luật cho phép, yêu cầu xóa dữ liệu, yêu cầu cung cấp bản sao dữ liệu và thực hiện quyền khiếu nại.
Việc thực hiện quyền không phải lúc nào cũng dẫn tới việc dữ liệu được xóa hoặc ngừng xử lý ngay lập tức. Nexus có thể tiếp tục lưu giữ hoặc xử lý dữ liệu nếu có căn cứ pháp luật phù hợp.
Yêu cầu về dữ liệu cá nhân được gửi tới phungluuhoanglong@gmail.com. Nexus có thể yêu cầu thông tin cần thiết để xác minh người gửi yêu cầu là chủ thể dữ liệu hoặc người đại diện hợp pháp.
Điều 18. Biện pháp bảo mật
Nexus áp dụng các biện pháp kỹ thuật phù hợp với kiến trúc hiện tại, bao gồm HTTPS/TLS, kiểm soát quyền truy cập theo vai trò, xác minh quyền truy cập Case, xác minh email, giới hạn tần suất một số loại request, cơ chế khóa đăng nhập tạm thời, kiểm tra dữ liệu đầu vào, security headers và logging phục vụ vận hành.
Các biện pháp này nhằm giảm thiểu rủi ro nhưng không tạo ra bảo đảm rằng hệ thống không bao giờ xảy ra sự cố.
Khi phát sinh sự cố dữ liệu cá nhân, Nexus sẽ thực hiện các biện pháp xử lý và nghĩa vụ thông báo theo quy định pháp luật áp dụng.
Điều 19. Người dùng chưa thành niên
Nexus được thiết kế chủ yếu cho môi trường giáo dục đại học và hiện không thực hiện xác minh tuổi bắt buộc đối với mọi tài khoản.
Trường hợp người chưa thành niên sử dụng Nexus và pháp luật yêu cầu có sự đồng ý hoặc giám sát của cha, mẹ hoặc người giám hộ, người dùng và người đại diện có trách nhiệm tuân thủ yêu cầu đó.
Nếu Nexus phát hiện dữ liệu của trẻ em đang được xử lý không phù hợp với pháp luật, Nexus sẽ áp dụng biện pháp cần thiết để hạn chế hoặc chấm dứt hoạt động xử lý.
Điều 20. Sửa đổi Chính sách
Nexus có thể cập nhật Chính sách này khi hoạt động xử lý dữ liệu, công nghệ sử dụng hoặc yêu cầu pháp luật thay đổi.
Trường hợp thay đổi làm phát sinh mục đích xử lý mới hoặc ảnh hưởng đáng kể tới quyền của người dùng, Nexus sẽ thực hiện việc thông báo và xin sự đồng ý trong trường hợp pháp luật yêu cầu.
Điều 21. Liên hệ
Mọi câu hỏi, khiếu nại hoặc yêu cầu thực hiện quyền đối với dữ liệu cá nhân được gửi tới:
phungluuhoanglong@gmail.com