Điều 1. Bên chịu trách nhiệm và phạm vi xử lý
Huy là cá nhân vận hành dự án PsyGuild và chịu trách nhiệm đối với việc xác định mục đích, phương thức xử lý dữ liệu do PsyGuild trực tiếp thực hiện tại psyguild.com. Mọi yêu cầu về dữ liệu được gửi đến psyguild7304@gmail.com. Tên PsyGuild là tên dự án, không thay thế danh tính của người chịu trách nhiệm hoặc làm phát sinh tư cách doanh nghiệp, cơ sở y tế hay tổ chức cung cấp dịch vụ xử lý dữ liệu có giấy phép.
Chính sách này áp dụng cho dữ liệu tài khoản, tương tác, dịch vụ, lượng giá và khảo sát thuộc phạm vi PsyGuild quản lý. Đối với nghiên cứu của một bên khác, biểu mẫu nhúng hoặc sản phẩm của tác giả, thông báo của hoạt động phải xác định ai quyết định mục đích xử lý, ai được nhận dữ liệu và trách nhiệm của từng bên trước khi người dùng tham gia. Việc gọi một bên là “đối tác” không chuyển toàn bộ trách nhiệm bảo vệ dữ liệu khỏi PsyGuild.
Điều 2. Dữ liệu được xử lý và nguồn thu thập
Khi người dùng tạo tài khoản hoặc liên hệ, dữ liệu có thể gồm tên hiển thị, địa chỉ email, mã tài khoản, ảnh đại diện do người dùng chọn, nội dung yêu cầu và thông tin xác thực do nhà cung cấp đăng nhập chuyển theo quyền đã cấp. Khi có giao dịch hợp lệ, PsyGuild xử lý mã đơn hàng, sản phẩm, giá trị, tình trạng thanh toán và thông tin cần để giao dịch, giải quyết khiếu nại, lập chứng từ theo nghĩa vụ áp dụng. Không yêu cầu thông tin thẻ đầy đủ, mật khẩu ngân hàng hoặc mã OTP qua email.
Việc truy cập website có thể tạo địa chỉ IP, thời điểm, thông tin trình duyệt, cookie, nhật ký bảo mật và tương tác với nội dung. Nếu sử dụng công cụ lượng giá, dữ liệu có thể gồm câu trả lời, điểm số, kết quả diễn giải, thời gian thực hiện và thông tin bối cảnh do người dùng tự cung cấp. Thông tin sức khỏe, sức khỏe tinh thần và dữ liệu khác thuộc nhóm nhạy cảm phải được nhận diện, thông báo và bảo vệ theo tính chất của chúng; không được coi câu trả lời lượng giá là dữ liệu vô hại chỉ vì người dùng dùng biệt danh.
PsyGuild thu thập qua biểu mẫu, tính năng tài khoản, trao đổi trực tiếp và các nhà cung cấp kỹ thuật được thông báo cho chức năng cụ thể. Người gửi dữ liệu của người khác phải có thẩm quyền và căn cứ hợp pháp; cam kết của người gửi không thay thế việc PsyGuild kiểm tra tính cần thiết và hợp pháp của việc tiếp nhận. Dữ liệu có thể xác định lại một cá nhân vẫn là dữ liệu cá nhân dù đã bỏ tên hoặc thay bằng mã.
Điều 3. Mục đích và căn cứ xử lý
Dữ liệu tài khoản được dùng để xác thực, duy trì quyền truy cập và hỗ trợ người dùng. Dữ liệu giao dịch được dùng để thực hiện hợp đồng, đối soát, xử lý hoàn tiền và thực hiện nghĩa vụ pháp luật. Nhật ký được dùng trong phạm vi cần thiết để bảo vệ hệ thống, điều tra sự cố và ngăn hành vi vi phạm. Mỗi hoạt động phải có sự đồng ý hợp lệ hoặc thuộc một trường hợp được pháp luật cho phép xử lý không cần sự đồng ý; PsyGuild không viện dẫn chung “lợi ích hợp pháp” để thu thập không giới hạn.
Câu trả lời và kết quả lượng giá chỉ được xử lý cho mục đích đã giải thích tại công cụ: tạo kết quả, lưu vào tài khoản nếu người dùng lựa chọn, cung cấp phần diễn giải đã yêu cầu và hỗ trợ giải quyết lỗi. Chia sẻ cho người tư vấn, nghiên cứu, công bố tình huống, tiếp thị hoặc sử dụng để huấn luyện AI là mục đích riêng cần căn cứ riêng. Không chuyển dữ liệu sức khỏe hoặc câu trả lời lượng giá sang hệ thống quảng cáo để phân nhóm hay nhắm mục tiêu người dùng.
Điều 4. Sự đồng ý và quyền lựa chọn
Trước khi xin sự đồng ý, PsyGuild phải cho người dùng biết loại dữ liệu, mục đích, bên chịu trách nhiệm, bên nhận, thời gian lưu hoặc tiêu chí xác định thời gian, quyền và phương thức liên hệ. Sự đồng ý phải tự nguyện, rõ ràng, có thể kiểm chứng và tách theo mục đích; không suy ra từ việc truy cập, im lặng hoặc một ô chọn đã được đánh dấu sẵn. Dữ liệu nhạy cảm phải được thông báo đúng tính chất trước khi xử lý.
Người dùng được từ chối một mục đích tùy chọn hoặc rút sự đồng ý qua email và qua công cụ lựa chọn nếu chức năng đó đang được cung cấp. Nếu dữ liệu là cần thiết để tạo kết quả hoặc thực hiện dịch vụ được yêu cầu, PsyGuild giải thích phần tính năng không thể tiếp tục sau khi từ chối; không hạn chế các chức năng không cần dữ liệu đó. Việc rút sự đồng ý không làm mất hiệu lực xử lý hợp pháp trước đó và không xóa nghĩa vụ lưu hồ sơ mà pháp luật còn yêu cầu.
Điều 5. Công khai, nhà cung cấp và chia sẻ
Bài viết, bình luận, tên hiển thị và trường hồ sơ được người dùng lựa chọn công khai có thể được người khác xem, sao chép hoặc lập chỉ mục. Kết quả lượng giá, địa chỉ email đăng nhập, dữ liệu thanh toán và yêu cầu hỗ trợ không thuộc nhóm tự động công khai. PsyGuild phải cảnh báo trước khi một thao tác sẽ công bố dữ liệu nhạy cảm và không mặc nhiên cho phép tác giả xem toàn bộ dữ liệu người thực hiện chỉ vì tác giả tạo công cụ.
WordPress và các thành phần vận hành tài khoản, đơn hàng có thể xử lý dữ liệu cho tính năng tương ứng. Google/Firebase có thể tham gia xác thực đăng nhập; Google AdSense tham gia phân phối quảng cáo khi được kích hoạt. Site Kit là thành phần kết nối dịch vụ Google trong quản trị, không phải bằng chứng rằng mọi dịch vụ phân tích đã được bật. Google Drive, Google Forms hoặc nội dung nhúng chỉ được dùng theo quyền, dữ liệu và mục đích đã thông báo cho chức năng cụ thể. PsyGuild phải xác định nhà cung cấp đang thực sự hoạt động trước khi thu thập thêm dữ liệu qua một tích hợp mới.
Nhân sự hoặc người hỗ trợ chỉ được tiếp cận dữ liệu cần cho nhiệm vụ và chịu nghĩa vụ bảo mật tương ứng. Chia sẻ cho nhà cung cấp phải có phân định trách nhiệm, giới hạn mục đích và biện pháp bảo vệ phù hợp. Việc cung cấp cho cơ quan nhà nước phải dựa trên yêu cầu hợp pháp; các tình huống bảo vệ khẩn cấp chỉ xử lý dữ liệu cần thiết theo căn cứ luật định. PsyGuild không bán dữ liệu cá nhân hoặc cho bên tài trợ quyền xem hồ sơ sức khỏe, câu trả lời và kết quả cá nhân.
Điều 6. Xử lý ngoài Việt Nam
Dịch vụ đám mây, xác thực hoặc quảng cáo của nhà cung cấp quốc tế có thể làm phát sinh lưu trữ hoặc xử lý dữ liệu ở ngoài Việt Nam. PsyGuild phải xác định luồng dữ liệu và bên nhận, thông báo cho người dùng theo trường hợp áp dụng, đánh giá tác động và thực hiện thủ tục, biện pháp bảo vệ bắt buộc trước hoặc trong thời hạn luật định. Sự đồng ý của người dùng không thay thế nghĩa vụ này. Chính sách không cam kết dữ liệu chỉ được lưu tại Việt Nam khi chưa xác minh hạ tầng thực tế.
Điều 7. Lưu giữ, xóa và bảo mật
Dữ liệu được giữ trong thời gian cần thiết để thực hiện mục đích đã công bố, giải quyết tranh chấp và đáp ứng nghĩa vụ lưu trữ áp dụng. Hồ sơ giao kết, đơn hàng và chứng từ được lưu theo thời hạn pháp luật tương ứng; đối với giao dịch thương mại điện tử thuộc trường hợp luật yêu cầu, dữ liệu hợp đồng phải có khả năng truy cập ít nhất ba năm. Dữ liệu lượng giá, dữ liệu nghiên cứu và bản ghi buổi làm việc phải có thời hạn hoặc tiêu chí lưu riêng được thông báo trước, không dùng thời hạn lưu hợp đồng để giữ mọi dữ liệu sức khỏe vô thời hạn.
Khi mục đích kết thúc hoặc yêu cầu xóa hợp lệ được chấp nhận, PsyGuild phải xóa, hủy hoặc khử nhận dạng theo phạm vi pháp luật cho phép, yêu cầu bên nhận thực hiện phần tương ứng và giải thích dữ liệu nào còn phải lưu. Bản sao dự phòng được kiểm soát truy cập, xử lý trong chu kỳ phù hợp và không được phục hồi để sử dụng lại cho mục đích đã chấm dứt. Người dùng không nên hiểu một nút xóa giao diện là cam kết tất cả bản sao đã được xóa ngay nếu chưa có xác nhận xử lý.
PsyGuild phải áp dụng các biện pháp phù hợp với mức độ rủi ro, gồm phân quyền, bảo vệ thông tin xác thực, kiểm soát truy cập, sao lưu và theo dõi sự cố. Không cam kết hệ thống an toàn tuyệt đối hoặc có mã hóa đầu cuối khi tính năng đó chưa được xác minh. Khi có vi phạm thuộc trường hợp phải thông báo theo Luật Bảo vệ dữ liệu cá nhân, việc thông báo cho cơ quan chuyên trách phải hoàn thành trong thời hạn tối đa 72 giờ kể từ khi phát hiện; việc thông tin cho người bị ảnh hưởng và khắc phục được thực hiện theo tính chất sự cố và nghĩa vụ áp dụng.
Điều 8. Thực hiện quyền của chủ thể dữ liệu
Người dùng có quyền được biết, đồng ý hoặc không đồng ý, truy cập, yêu cầu cung cấp, chỉnh sửa, xóa, hạn chế hoặc phản đối xử lý, rút sự đồng ý, khiếu nại và yêu cầu bảo vệ quyền theo điều kiện luật định. Gửi yêu cầu đến psyguild7304@gmail.com, nêu tài khoản hoặc thông tin đủ nhận diện dữ liệu và phạm vi yêu cầu. PsyGuild chỉ yêu cầu xác minh tương xứng để tránh cung cấp dữ liệu cho người không có quyền, không mặc định đòi bản chụp CCCD cho mọi yêu cầu.
Theo Điều 5 Nghị định 356/2025/NĐ-CP, PsyGuild phản hồi yêu cầu trong hai ngày làm việc. Thời hạn thực hiện yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu là mười ngày, riêng chỉnh sửa cần bên xử lý tham gia là mười lăm ngày; rút sự đồng ý, hạn chế hoặc phản đối là mười lăm ngày, hoặc hai mươi ngày khi cần bên xử lý hoặc bên thứ ba phối hợp; xóa là hai mươi ngày, hoặc ba mươi ngày khi cần bên xử lý hoặc bên thứ ba phối hợp. Yêu cầu áp dụng biện pháp bảo vệ được thực hiện trong mười lăm ngày. Các mốc thực hiện là ngày theo quy định của nghị định, không tự chuyển thành ngày làm việc.
Nếu đủ điều kiện gia hạn, PsyGuild thông báo lý do và thời hạn; mỗi loại yêu cầu chỉ được gia hạn một lần trong giới hạn luật định: tối đa mười ngày cho nhóm xem, chỉnh sửa, cung cấp; mười lăm ngày cho nhóm rút sự đồng ý, hạn chế, phản đối hoặc áp dụng biện pháp bảo vệ; hai mươi ngày cho xóa. Khi không thể đáp ứng một phần yêu cầu vì căn cứ pháp luật, phải giải thích phần bị giới hạn và cách thực hiện quyền tiếp theo. Không tự đặt phí hoặc thủ tục làm cản trở quyền hợp pháp.
Điều 9. Trẻ em, nghiên cứu và cập nhật chính sách
PsyGuild áp dụng kiểm tra tuổi và sự tham gia của người đại diện phù hợp cho lượng giá, dịch vụ và nghiên cứu với người chưa thành niên. Đối với việc công bố, tiết lộ thông tin đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ bảy tuổi, phải có sự đồng ý của trẻ và người đại diện theo pháp luật theo quy định áp dụng. Sự đồng ý của nhà trường, người tổ chức khảo sát hoặc việc trẻ tự tạo tài khoản không mặc nhiên thay thế quyền của người đại diện.
Việc dùng dữ liệu cho nghiên cứu tuân theo thông báo của từng nghiên cứu và Chính sách nghiên cứu, khảo sát. Công bố thống kê phải giảm nguy cơ tái nhận dạng; dữ liệu đã mã hóa tên nhưng vẫn có thể truy ngược về người tham gia không được gọi là dữ liệu ẩn danh hoàn toàn. Khi thay đổi mục đích hoặc phạm vi cần sự đồng ý mới, PsyGuild phải xin lại sự đồng ý trước khi thực hiện, đồng thời lưu dấu phiên bản và thông báo thay đổi đáng kể.
Điều 10. Áp dụng và cập nhật
Chính sách được áp dụng cùng các thỏa thuận đã xác nhận và quy định bắt buộc của pháp luật Việt Nam. Căn cứ đối chiếu cho nội dung tương ứng gồm Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, Nghị định 356/2025/NĐ-CP. Các yêu cầu chuyên ngành khác được áp dụng khi hoạt động thực tế thuộc phạm vi điều chỉnh. Phiên bản mới không làm mất quyền đã phát sinh hợp lệ; thay đổi mục đích xử lý dữ liệu hoặc nghĩa vụ cần xác nhận mới phải được thực hiện trước khi áp dụng.