Chính sách quyền riêng tư

1. Ai vận hành app

Tako JLPT (app luyện thi tiếng Nhật JLPT N5–N1, thương hiệu “Học cùng Tako”, website takolingo.com, bản web và bản ứng dụng trên Google Play / App Store khi phát hành) do Nguyễn Công Tùng, một cá nhân cư trú tại Nhật Bản, phát triển và vận hành (“chúng tôi”). Người vận hành là bên quyết định mục đích và cách xử lý dữ liệu cá nhân trong app. Liên hệ về quyền riêng tư: support@takolingo.com.

2. Dữ liệu chúng tôi thu thập

2.1 Thông tin tài khoản (bạn cung cấp)

• Email, tên hiển thị và mật khẩu khi đăng ký bằng email. Mật khẩu chỉ lưu dạng băm PBKDF2-SHA256 (100.000 vòng, muối riêng), không ai đọc được mật khẩu gốc.
• Khi chọn Đăng nhập bằng Google: email, trạng thái đã xác minh email, tên, đường dẫn ảnh đại diện và mã định danh tài khoản Google (“sub”). Chúng tôi không nhận mật khẩu Google, danh bạ hay dữ liệu Drive của bạn.
• Thông tin quản lý tài khoản: vai trò, gói (hiện tất cả là miễn phí), thời điểm tạo tài khoản, lần đăng nhập gần nhất, thời điểm xác minh email, trạng thái tài khoản.

2.2 Dữ liệu học tập (tạo ra khi bạn dùng app)

• Cài đặt: cấp độ đang học, mục tiêu phút/ngày, đã xem hướng dẫn hay chưa, chế độ nghe một lần.
• Tiến độ: ngày lộ trình đã xong, bài/video đã xem, bước của vòng học, sao và điểm kinh nghiệm.
• Câu trả lời: đáp án bạn chọn trong bài luyện, đề thi thử và OTAFF; đúng/sai; thời điểm trả lời.
• Dữ liệu lượt thi: giờ bắt đầu/nộp, điểm từng phần, thời gian làm từng câu, số lần đổi đáp án, số lần phát phần nghe, hạn giờ của từng phần.
• Dữ liệu ghi nhớ và năng lực (học thích ứng): trạng thái thẻ nhớ SRS (độ ổn định, độ khó, lần ôn kế tiếp), lịch sử ôn tập, ước lượng năng lực theo kỹ năng, mục tiêu (cấp độ, ngày thi, số phút mỗi ngày).
• Bản lưu trữ các lượt thi cũ của những đề đã gỡ khỏi app (để không mất lịch sử của bạn).

2.3 Dữ liệu kỹ thuật và bảo mật (thu tự động)

• Địa chỉ IP và user-agent (loại trình duyệt/thiết bị, tối đa 300 ký tự) gắn với mỗi phiên đăng nhập.
• Lịch sử đăng nhập: email đã nhập, địa chỉ IP, thành công hay thất bại, thời điểm — để chặn dò mật khẩu.
• Bộ đếm chống lạm dụng (rate limit) theo IP, mã tài khoản hoặc email; mã xác minh 6 số (chỉ lưu dạng băm); khoá chống gửi trùng (idempotency key) kèm phản hồi đã lưu của chính yêu cầu đó.
• Nhật ký hệ thống của Cloudflare (Workers Logs): đường dẫn được gọi, thời gian xử lý, mã lỗi, mã yêu cầu và siêu dữ liệu kết nối do Cloudflare ghi kèm (có thể gồm IP, quốc gia, user-agent).
• Cloudflare suy ra múi giờ gần đúng từ IP để chào “buổi sáng/buổi tối” — giá trị này không được lưu.

Chúng tôi không thu thập vị trí chính xác, danh bạ, ảnh, micro, camera, mã quảng cáo, dữ liệu thanh toán hay dữ liệu sức khoẻ. App không có quảng cáo và không bán dữ liệu.

3. Mục đích và căn cứ xử lý

• Cung cấp dịch vụ bạn yêu cầu (thực hiện thoả thuận sử dụng): tạo và đăng nhập tài khoản, lưu và đồng bộ tiến độ trên mọi thiết bị, chấm bài, xếp lịch ôn, gợi ý bài kế tiếp, báo cáo sau thi.
• Bảo mật và chống lạm dụng (lợi ích chính đáng / nghĩa vụ bảo đảm an toàn dữ liệu): chặn dò mật khẩu, giới hạn tần suất, phát hiện lỗi, điều tra sự cố.
• Gửi email giao dịch: mã xác minh email và mã đặt lại mật khẩu. Chúng tôi không gửi email tiếp thị.
• Sự đồng ý của bạn: khi đăng ký và tiếp tục dùng app, bạn đồng ý với các mục đích trên; bạn có thể rút lại bằng cách xoá tài khoản bất cứ lúc nào (mục 9).

Chúng tôi không dùng dữ liệu của bạn để quảng cáo, lập hồ sơ tiếp thị, hay huấn luyện mô hình AI của bên thứ ba.

4. Nhà cung cấp dịch vụ và bên thứ ba

Chúng tôi không chia sẻ dữ liệu cá nhân cho ai để họ dùng vào mục đích riêng. Các dịch vụ dưới đây xử lý dữ liệu thay mặt chúng tôi hoặc được trình duyệt của bạn gọi trực tiếp khi dùng tính năng tương ứng:

Chúng tôi không dùng công cụ phân tích hay quảng cáo. Cloudflare Web Analytics hiện không thu dữ liệu từ app; nếu sau này bật, chúng tôi sẽ cập nhật chính sách này trước. Chúng tôi có thể tiết lộ dữ liệu khi pháp luật bắt buộc (ví dụ yêu cầu hợp lệ của cơ quan có thẩm quyền).

Chính sách của các nhà cung cấp: Cloudflare, Google.

5. Cookie và lưu trữ trên thiết bị

• jlpt_session: cookie phiên đăng nhập (HttpOnly, Secure, SameSite=Lax, 30 ngày). Bắt buộc để đăng nhập.
• jlpt_gstate: cookie tạm 10 phút trong lúc đăng nhập Google (chống giả mạo).
• jlpt_reauth: cookie tạm 10 phút sau khi bạn xác nhận lại bằng Google để xoá tài khoản.
• Bộ nhớ cục bộ (localStorage): cấp độ gần nhất, tiến độ tạm khi mất mạng, danh sách câu vừa làm để tránh lặp, cờ phông chữ. Xoá dữ liệu trang web trong trình duyệt sẽ xoá phần này.
• Service worker: lưu tệp giao diện tĩnh (HTML/JS/CSS/ảnh) để app mở nhanh và mở được khi mất mạng. Không lưu dữ liệu cá nhân.

Chúng tôi không dùng cookie quảng cáo hay cookie theo dõi của bên thứ ba. (Trình phát Google Drive có thể đặt cookie của Google khi bạn mở video.)

6. Thời hạn lưu

7. Chuyển dữ liệu ra nước ngoài

Dữ liệu được lưu và xử lý trên hạ tầng toàn cầu của Cloudflare (trụ sở tại Hoa Kỳ) và, với các tính năng ở mục 4, của Google (Hoa Kỳ). Vì vậy dữ liệu của bạn có thể được xử lý ngoài Việt Nam và Nhật Bản, kể cả tại Hoa Kỳ — nơi có quy định bảo vệ dữ liệu khác với Việt Nam/Nhật Bản. Cloudflare và Google áp dụng các biện pháp bảo vệ theo hợp đồng xử lý dữ liệu và chứng nhận của họ (ví dụ điều khoản hợp đồng mẫu, khung bảo vệ dữ liệu, ISO 27001/27701). Bằng việc sử dụng app, bạn đồng ý với việc chuyển dữ liệu này. Nếu bạn muốn biết thêm, hãy liên hệ chúng tôi.

8. Quyền của bạn

Tuỳ nơi bạn sống, pháp luật cho bạn các quyền sau. Chúng tôi áp dụng chúng cho mọi người dùng:

• Việt Nam — Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực 01/01/2026) và Nghị định 356/2025/NĐ-CP (thay thế Nghị định 13/2023/NĐ-CP): quyền được biết, đồng ý hoặc rút lại đồng ý, xem và yêu cầu cung cấp dữ liệu, chỉnh sửa, xoá, hạn chế xử lý, phản đối xử lý, khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường.
• Nhật Bản — Luật Bảo vệ thông tin cá nhân (個人情報保護法, APPI): yêu cầu công khai (開示) dữ liệu đang lưu và hồ sơ cung cấp cho bên thứ ba, đính chính/bổ sung/xoá, ngừng sử dụng hoặc ngừng cung cấp cho bên thứ ba.
• Người dùng ở nơi khác (ví dụ EU/UK theo GDPR, Hoa Kỳ theo luật bang) có các quyền tương tự: truy cập, chỉnh sửa, xoá, phản đối, khiếu nại tới cơ quan bảo vệ dữ liệu.

Cách thực hiện: tên hiển thị và mục tiêu học sửa được ngay trong app; xoá tài khoản tự làm được trong app (mục 9). Các yêu cầu khác (xem/xuất toàn bộ dữ liệu, đính chính email, hạn chế xử lý) gửi về support@takolingo.com từ chính email của tài khoản. Chúng tôi có thể hỏi thêm để xác minh bạn là chủ tài khoản và sẽ trả lời trong vòng 30 ngày (không thu phí cho yêu cầu hợp lý).

9. Xoá tài khoản

Bạn có thể xoá tài khoản và toàn bộ dữ liệu bất cứ lúc nào: trong app vào Cá nhân → Tài khoản → Xoá tài khoản, hoặc trên web tại trang Xoá tài khoản (có hướng dẫn cho người không đăng nhập được). Việc xoá là vĩnh viễn và có hiệu lực ngay; bản sao lưu kỹ thuật tự hết hạn trong tối đa 30 ngày.

10. Độ tuổi

App dành cho người từ 13 tuổi trở lên và không hướng tới trẻ em. Nếu bạn chưa đủ 16 tuổi (hoặc chưa đủ tuổi tự đồng ý theo luật nơi bạn sống), hãy dùng app khi có sự đồng ý và hướng dẫn của cha mẹ hoặc người giám hộ. Nếu biết một tài khoản thuộc về trẻ dưới 13 tuổi, chúng tôi sẽ xoá tài khoản đó; phụ huynh có thể liên hệ support@takolingo.com.

11. Bảo mật

• Mọi kết nối dùng HTTPS (HSTS). Mật khẩu và mã xác minh chỉ lưu dạng băm. Cookie phiên là HttpOnly, Secure.
• Mỗi tài khoản chỉ đọc được dữ liệu của chính mình; quản trị viên không xem được mật khẩu hay mã đặt lại mật khẩu.
• Chống dò mật khẩu bằng khoá tạm thời và giới hạn tần suất; chính sách bảo mật nội dung (CSP) chặt.
• Nếu xảy ra sự cố lộ lọt dữ liệu ảnh hưởng tới bạn, chúng tôi sẽ thông báo cho bạn và cơ quan có thẩm quyền theo thời hạn luật định.

12. Thay đổi chính sách và liên hệ

Khi có thay đổi quan trọng, chúng tôi cập nhật trang này kèm ngày hiệu lực mới và thông báo trong app trước khi áp dụng. Câu hỏi hoặc khiếu nại: support@takolingo.com (người vận hành: Nguyễn Công Tùng, Nhật Bản). Bạn cũng có quyền khiếu nại tới cơ quan bảo vệ dữ liệu nơi bạn sống (ví dụ Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao — Bộ Công an Việt Nam; Ủy ban Bảo vệ thông tin cá nhân Nhật Bản — PPC).

Bản tiếng Anh: Privacy Policy (English). Nếu hai bản khác nhau, bản tiếng Việt được ưu tiên.