Thông báo quyền riêng tư

Phiên bản 2.1, có hiệu lực từ 31 tháng 10, 2026.

1. Chúng tôi là ai

NurseFlyAbroad là trang web mở và miễn phí để điều dưỡng chuẩn bị cho các kỳ thi và làm việc ở nước ngoài. Trang do nhóm NurseFlyAbroad vận hành từ Dubai, Các Tiểu vương quốc Ả Rập Thống nhất (“chúng tôi”). Chúng tôi quyết định vì sao và bằng cách nào dữ liệu cá nhân của bạn được sử dụng, nên chúng tôi là bên kiểm soát (ở Ấn Độ: Data Fiduciary).

Đầu mối về quyền riêng tư, cũng là đầu mối tiếp nhận khiếu nại của chúng tôi cho Ấn Độ, Philippines và Nigeria: privacy@nurseflyabroad.com. Liên hệ chung: hello@nurseflyabroad.com.

Chúng tôi không có văn phòng ở EU hay Vương quốc Anh. Nếu có đại diện được chỉ định theo Điều 27 của GDPR hoặc UK GDPR, tên sẽ được nêu ở đây.

2. Những điều chúng tôi không bao giờ làm

• Chúng tôi không bao giờ bán hoặc cho thuê dữ liệu cá nhân của bạn, và không bao giờ trao đổi dữ liệu đó.
• Chúng tôi không bao giờ chia sẻ dữ liệu cho hoạt động tiếp thị của công ty khác.
• Chúng tôi không bao giờ chuyển dữ liệu cho nhà tuyển dụng, đại lý, người sử dụng lao động hay công ty đối tác (liên kết). Đối tác không nhận dữ liệu cá nhân từ chúng tôi, kể cả email của bạn.
• Chúng tôi không bao giờ hỏi mật khẩu, hộ chiếu, Aadhaar, PAN hoặc số giấy tờ tùy thân khác, thông tin ngân hàng hay thẻ, hoặc hồ sơ sức khỏe.
• Chúng tôi không bao giờ đưa ra quyết định về bạn có hiệu lực pháp lý hoặc tương tự chỉ bằng phương tiện tự động.

3. Chúng tôi thu thập gì, vì sao và trong bao lâu

Bạn có thể dùng phần luyện tập, hướng dẫn, công cụ luyện từ vựng và kiểm tra đại lý mà không cần cho chúng tôi biết tên hay email. Bảng liệt kê mọi loại dữ liệu cá nhân mà trang lưu trữ, lấy từ mã nguồn và cơ sở dữ liệu của trang. “ID ngẫu nhiên” là mã ngẫu nhiên mà trình duyệt của bạn tạo cho trang này (xem 3.1); đó không phải là tên của bạn.

Cơ sở pháp lý (GDPR và UK GDPR, Điều 6(1)): (a) sự đồng ý; (b) hợp đồng, tức là các bước bạn yêu cầu chúng tôi thực hiện; (c) nghĩa vụ pháp lý; (f) lợi ích chính đáng, mà chúng tôi chỉ dùng khi không lấn át quyền của bạn. Luật của Ấn Độ, Philippines, Nigeria và UAE có các cơ sở tương tự; xem mục 10.

3.1 Những gì bạn làm trên trang

3.2 Những gì bạn gửi cho chúng tôi

3.3 Những gì dịch vụ lưu trữ của chúng tôi tự động ghi lại

Như mọi trang web, nhà cung cấp lưu trữ của chúng tôi (Vercel) ghi lại mỗi yêu cầu: địa chỉ IP, địa chỉ trang, loại trình duyệt và thời gian. Các nhật ký này dùng để cung cấp trang và giữ an toàn (lợi ích chính đáng) và được giữ trong thời gian ngắn theo quy định của chính Vercel. Chúng tôi không lưu địa chỉ IP trong cơ sở dữ liệu của mình. Mã của chúng tôi chỉ dùng địa chỉ IP của bạn trong bộ nhớ, để giới hạn số yêu cầu mà một kết nối có thể gửi và để đọc quốc gia của bạn (chỉ mã quốc gia).

4. Những gì chúng tôi không thu thập

Chúng tôi không hỏi và không muốn: mật khẩu, hộ chiếu, Aadhaar, PAN hoặc số giấy tờ tùy thân khác, thông tin ngân hàng hay thẻ, thông tin sức khỏe, tôn giáo, đẳng cấp hoặc tình trạng nhập cư. Xin đừng nhập chúng vào bàn trợ giúp hay cộng đồng. Bài đăng cộng đồng chứa số điện thoại, số giấy tờ tùy thân hoặc địa chỉ email sẽ bị giữ lại để một người kiểm tra trước khi ai đó nhìn thấy. Tài khoản là tùy chọn: bạn có thể lưu tiến độ bằng tên và email, hoặc bằng đăng nhập Google, Facebook, Microsoft hay Apple (mục 3.2). Không có mật khẩu.

5. Cookie, thống kê sử dụng và quảng cáo

Chính sách cookie liệt kê mọi cookie và mục lưu trữ của trình duyệt, tác dụng và thời hạn của chúng. Tóm lại:

• Các mục cần thiết (ngôn ngữ, tiến độ luyện tập, lựa chọn của bạn, ID ngẫu nhiên) luôn bật.
• Thống kê sử dụng tắt cho đến khi bạn cho phép. Chúng chỉ đi vào cơ sở dữ liệu của chúng tôi, không tới Google hay bất kỳ công ty phân tích nào.
• Quảng cáo (quảng cáo Google và đo lường quảng cáo) tắt cho đến khi bạn cho phép, và chỉ được đưa ra khi chúng tôi bật quảng cáo. Hiện tại quảng cáo và đo lường quảng cáo đang tắt. Thẻ của Google chỉ tải sau khi bạn chấp nhận. Quảng cáo không hiển thị cho khách ở EEA, Vương quốc Anh và Thụy Sĩ, hoặc nơi chúng tôi không xác định được quốc gia, cho đến khi thông báo đồng ý riêng của Google được bật. Xem cách Google sử dụng thông tin từ các trang dùng dịch vụ của họ.
• Nếu trình duyệt của bạn gửi Global Privacy Control hoặc Do Not Track, chúng tôi coi đó là “không” đối với quảng cáo.
• Từ chối dễ như chấp nhận, và trang hoạt động như nhau. Bạn có thể đổi ý bất cứ lúc nào bằng “Cài đặt cookie” ở cuối mỗi trang. Chúng tôi lưu lựa chọn của bạn, phiên bản chính sách và ngày trong trình duyệt của bạn.
• Ưu đãi từ đối tác được gắn nhãn. Nếu bạn bấm vào một ưu đãi, bạn rời trang của chúng tôi và đối tác có thể đặt cookie riêng. Chúng tôi không gửi dữ liệu cá nhân cho đối tác.

6. Guide AI

NurseFlyAbroad Guide trong bàn trợ giúp và cộng đồng là một bot AI, và luôn được gắn nhãn như vậy. Nó không phải điều dưỡng, luật sư hay đại lý. Nó không bao giờ hỏi điện thoại, hộ chiếu, giấy tờ tùy thân hay thông tin ngân hàng.

• Để soạn câu trả lời, nội dung câu hỏi của bạn và các tin nhắn trước đó trong cuộc trò chuyện (hoặc bài đăng cộng đồng của bạn) được gửi qua Vercel AI Gateway tới một mô hình AI do Anthropic tạo ra. Bài đăng cộng đồng cũng qua một bước kiểm tra an toàn bằng AI ngắn.
• Vercel nêu rằng AI Gateway không giữ prompt hay câu trả lời sau khi yêu cầu hoàn tất (bảo mật Vercel AI Gateway). Anthropic nêu rằng họ xóa đầu vào và đầu ra API trong 30 ngày, trừ khi phải giữ để thực thi chính sách sử dụng hoặc pháp luật (trung tâm quyền riêng tư của Anthropic). Vercel liệt kê Anthropic là nhà cung cấp không huấn luyện mô hình bằng prompt gửi qua AI Gateway (nhà cung cấp ZDR của Vercel).
• Chúng tôi lưu cuộc trò chuyện ở bàn trợ giúp trong cơ sở dữ liệu như mô tả ở mục 3.2.
• Bước kiểm tra AI có thể giữ lại một bài đăng cộng đồng. Sau đó một người xem xét và quyết định. Không quyết định nào của AI có hiệu lực pháp lý hoặc tương tự đối với bạn.

7. Ai xử lý dữ liệu của bạn

Chúng tôi dùng một số ít nhà cung cấp dịch vụ (bên xử lý). Họ chỉ được dùng dữ liệu để cung cấp dịch vụ cho chúng tôi, theo điều khoản xử lý dữ liệu. Chúng tôi không bao giờ chia sẻ dữ liệu cá nhân với ai khác, trừ khi pháp luật yêu cầu; chúng tôi kiểm tra mọi yêu cầu như vậy.

Nếu NurseFlyAbroad có lúc chuyển sang một đơn vị vận hành khác, thông báo này vẫn áp dụng cho dữ liệu của bạn. Chúng tôi sẽ báo cho bạn trước khi điều đó xảy ra, và bạn có thể xóa dữ liệu của mình trước.

8. Chuyển dữ liệu quốc tế

Nhóm của chúng tôi làm việc từ UAE. Các nhà cung cấp của chúng tôi lưu trữ và xử lý dữ liệu ở Hoa Kỳ và các nước khác. Khi dữ liệu cá nhân rời khỏi nước bạn, chúng tôi dùng các biện pháp bảo vệ mà luật của bạn yêu cầu:

• EEA, Vương quốc Anh và Thụy Sĩ: Điều khoản hợp đồng chuẩn của Ủy ban châu Âu (kèm Phụ lục Vương quốc Anh), và, với Vercel, chứng nhận EU-U.S. Data Privacy Framework của họ.
• Ấn Độ: việc chuyển được cho phép trừ tới các nước mà Chính phủ Ấn Độ hạn chế theo mục 16 của DPDP Act; chúng tôi sẽ tuân theo mọi hạn chế như vậy.
• Philippines: chúng tôi vẫn chịu trách nhiệm về dữ liệu của bạn dù được xử lý ở đâu (Data Privacy Act, mục 21), thông qua hợp đồng với nhà cung cấp.
• Nigeria: việc chuyển dựa trên mức bảo vệ đầy đủ hoặc biện pháp bảo vệ phù hợp như điều khoản hợp đồng chuẩn (NDPA, mục 41 đến 43).
• UAE: việc chuyển tuân theo Điều 22 và 23 của Personal Data Protection Law.

Bạn có thể yêu cầu chúng tôi cung cấp bản sao các biện pháp bảo vệ mà chúng tôi dùng.

9. Quyền của bạn

Dù sống ở đâu, bạn có thể:

• xem dữ liệu chúng tôi giữ về bạn và nhận một bản sao, ở định dạng tệp phổ biến mà bạn có thể mang đi nơi khác;
• sửa dữ liệu sai hoặc chưa đầy đủ;
• xóa dữ liệu của bạn;
• phản đối một cách sử dụng dữ liệu của bạn, hoặc yêu cầu chúng tôi hạn chế việc đó;
• rút lại sự đồng ý bất cứ lúc nào, dễ như khi bạn đã đưa ra (cài đặt cookie, liên kết hủy đăng ký, hoặc một email);
• khiếu nại với chúng tôi, và với cơ quan bảo vệ dữ liệu của bạn.

Cách làm: trên trang Dữ liệu của bạn bạn có thể tải xuống hoặc xóa cùng lúc mọi thứ lưu theo ID ngẫu nhiên của trình duyệt, và gửi yêu cầu về dữ liệu gắn với email của bạn. Hoặc gửi email tới privacy@nurseflyabroad.com. Miễn phí. Chúng tôi trả lời trong 30 ngày. Chúng tôi chỉ trả lời tới địa chỉ email gắn với dữ liệu, để chỉ chủ sở hữu mới nhận được dữ liệu; chúng tôi có thể yêu cầu bạn xác nhận yêu cầu từ địa chỉ đó. Chúng tôi không bao giờ yêu cầu giấy tờ tùy thân cho việc này.

10. Quyền theo luật của nước bạn

Khu vực Kinh tế châu Âu và Vương quốc Anh (GDPR và UK GDPR)

Bạn có các quyền truy cập, chỉnh sửa, xóa, hạn chế, di chuyển dữ liệu và phản đối, quyền rút lại sự đồng ý, và quyền không phải chịu các quyết định chỉ dựa trên xử lý tự động (Điều 15 đến 22). Bạn có thể khiếu nại với cơ quan bảo vệ dữ liệu nơi bạn sống hoặc làm việc; ở Vương quốc Anh là Information Commissioner's Office (ico.org.uk).

Ấn Độ (Digital Personal Data Protection Act, 2023)

Chúng tôi xử lý dữ liệu của bạn khi có sự đồng ý của bạn, hoặc theo mục 7(a) khi chính bạn cung cấp dữ liệu cho một mục đích cụ thể (ví dụ một lộ trình học). Bạn có quyền nhận bản tóm tắt dữ liệu chúng tôi xử lý và chia sẻ với ai (mục 11); quyền chỉnh sửa, bổ sung, cập nhật và xóa (mục 12); quyền giải quyết khiếu nại (mục 13); và quyền chỉ định một người thực hiện quyền của bạn nếu bạn qua đời hoặc không thể hành động (mục 14). Bạn có thể rút lại sự đồng ý dễ như khi đã đưa ra. Liên hệ đầu mối khiếu nại của chúng tôi tại privacy@nurseflyabroad.com. Nếu không hài lòng với câu trả lời của chúng tôi, bạn có thể khiếu nại với Data Protection Board of India.

Philippines (Data Privacy Act of 2012, Republic Act No. 10173)

Bạn có quyền được thông tin, truy cập, phản đối, xóa hoặc chặn, chỉnh sửa, di chuyển dữ liệu và bồi thường thiệt hại. Bạn có thể nộp khiếu nại lên National Privacy Commission (privacy.gov.ph).

Nigeria (Nigeria Data Protection Act, 2023)

Bạn có quyền được thông tin, truy cập, chỉnh sửa, xóa, hạn chế, di chuyển dữ liệu, rút lại sự đồng ý, phản đối, và không phải chịu các quyết định chỉ dựa trên xử lý tự động. Bạn có thể khiếu nại với Nigeria Data Protection Commission (ndpc.gov.ng).

Các Tiểu vương quốc Ả Rập Thống nhất (Federal Decree-Law No. 45 of 2021 về Bảo vệ Dữ liệu Cá nhân)

Bạn có quyền được thông tin, di chuyển dữ liệu, chỉnh sửa hoặc xóa, hạn chế xử lý, dừng xử lý, và phản đối các quyết định dựa trên xử lý tự động. Bạn có thể khiếu nại với UAE Data Office.

Mọi nơi khác

Điều dưỡng dùng NurseFlyAbroad từ nhiều quốc gia, gồm Kenya, Ghana, Zimbabwe, Nepal, Brazil và khắp Đông Âu và Mỹ Latinh. Chúng tôi trao cho mọi người cùng các quyền mô tả ở mục 9, và bạn có thể khiếu nại với cơ quan bảo vệ dữ liệu của nước mình.

11. Cách chúng tôi bảo vệ dữ liệu của bạn

Đây là các biện pháp đang áp dụng hiện nay:

• Toàn bộ trang dùng HTTPS, và trình duyệt được yêu cầu luôn dùng nó (HSTS).
• Trình duyệt không thể truy cập cơ sở dữ liệu. Bảo mật cấp hàng được bật cho mọi bảng và không có quy tắc truy cập công khai. Chỉ máy chủ của chúng tôi đọc và ghi, bằng một khóa bí mật không bao giờ rời máy chủ.
• Trang quản trị của chúng tôi được bảo vệ bằng một mã thông báo bí mật dài. Cookie đăng nhập của trang là HttpOnly, Secure và SameSite=Strict, kéo dài 12 giờ, và các lần thử đăng nhập bị giới hạn tốc độ.
• Mọi biểu mẫu và API kiểm tra dữ liệu đầu vào (loại, độ dài và định dạng) và giới hạn số yêu cầu một trình duyệt hay kết nối có thể gửi.
• Dữ liệu cộng đồng và bàn trợ giúp không bao giờ hiển thị công khai email hay ID ngẫu nhiên của bạn.
• Tiêu đề bảo mật: Content Security Policy, không cho trang khác nhúng trang của chúng tôi, không đoán loại nội dung, chính sách referrer nghiêm ngặt, và tắt các tính năng máy ảnh, micro, vị trí và thanh toán.
• Không có dữ liệu cá nhân trong địa chỉ trang, thống kê sử dụng hay nhật ký của chúng tôi: địa chỉ trang được lưu không có phần sau dấu “?”, và các chi tiết giống địa chỉ email hay số điện thoại bị loại khỏi thống kê.
• Dữ liệu xuất từ trang quản trị được bảo vệ khỏi chèn công thức bảng tính và không kèm mã hủy đăng ký.
• Dữ liệu được xóa hoặc ẩn danh tự động khi hết thời hạn trong mục 3.
• Nhà cung cấp lưu trữ và cơ sở dữ liệu của chúng tôi mã hóa dữ liệu lưu trữ (AES-256) và dữ liệu khi truyền (TLS), và mỗi bên đều có báo cáo SOC 2 Type 2 (mục 7). Đó là báo cáo của họ, không phải của chúng tôi; bản thân NurseFlyAbroad không có chứng nhận bảo mật nào.

Phát hiện sự cố bảo mật? Gửi email tới privacy@nurseflyabroad.com (xem thêm security.txt).

12. Nếu có sự cố

Nếu một vụ vi phạm bảo mật ảnh hưởng đến dữ liệu cá nhân, chúng tôi sẽ khống chế nó, tìm hiểu chuyện gì đã xảy ra và khắc phục. Khi pháp luật yêu cầu, chúng tôi sẽ thông báo cho cơ quan có thẩm quyền trong thời hạn họ đặt ra: trong 72 giờ theo GDPR, UK GDPR, NDPA và quy định của Philippines, và theo yêu cầu của DPDP Act và PDPL của UAE. Nếu vụ vi phạm có khả năng gây rủi ro cho bạn, chúng tôi sẽ báo trực tiếp cho bạn và không chậm trễ không cần thiết, bằng lời giản dị: chuyện gì đã xảy ra, dữ liệu nào, chúng tôi đang làm gì và bạn có thể làm gì.

13. Chỉ dành cho người lớn (18+)

NurseFlyAbroad dành cho người lớn từ 18 tuổi trở lên, như điều dưỡng, nữ hộ sinh và sinh viên điều dưỡng. Trang không dành cho trẻ em. Nếu bạn dưới 18 tuổi, xin đừng gửi dữ liệu cá nhân cho chúng tôi. Nếu chúng tôi biết có người dưới 18 tuổi đã gửi dữ liệu cá nhân, chúng tôi sẽ xóa dữ liệu đó.

14. Thay đổi đối với thông báo này

Số phiên bản và ngày ở đầu trang. Nếu chúng tôi thực hiện một thay đổi đáng kể, chúng tôi sẽ hiển thị thông báo trên trang, và khi cần sự đồng ý của bạn, chúng tôi sẽ hỏi lại. Các phiên bản trước có sẵn khi yêu cầu.

• Phiên bản 2.1, 31 tháng 10 năm 2026: thêm tiến độ đã lưu, đăng nhập tùy chọn, bản tin và các nhà cung cấp email (mục 3.2 và 7); thông tin đơn vị vận hành và liên hệ; quảng cáo không hiển thị ở EEA, Vương quốc Anh và Thụy Sĩ nếu không có thông báo đồng ý của Google; “Xóa dữ liệu của tôi” cũng xóa tài khoản đăng nhập.
• Phiên bản 2.0, 29 tháng 10 năm 2026: viết lại hoàn toàn từ mã nguồn và cơ sở dữ liệu của trang; thống kê sử dụng nay cần sự đồng ý; trang Dữ liệu của bạn; thời hạn lưu trữ được áp dụng tự động.
• Phiên bản 1.0: thông báo đầu tiên.

15. Liên hệ và thời gian phản hồi

• Yêu cầu về quyền riêng tư và dữ liệu: privacy@nurseflyabroad.com. Câu hỏi chung: hello@nurseflyabroad.com. Trợ giúp về trang: support@nurseflyabroad.com.
• Yêu cầu qua trang Dữ liệu của bạn nhận được mã tham chiếu ngay lập tức. Yêu cầu qua email: chúng tôi xác nhận đã nhận trong 7 ngày.
• Chúng tôi trả lời mọi yêu cầu trong 30 ngày. Nếu yêu cầu rất phức tạp, GDPR cho phép thêm tối đa hai tháng; nếu cần, chúng tôi sẽ giải thích lý do trong 30 ngày đầu.
• Báo cáo bảo mật: chúng tôi cố gắng trả lời trong 3 ngày làm việc.
• Địa chỉ bưu chính: có sẵn khi yêu cầu qua email tới privacy@nurseflyabroad.com cho đến khi địa chỉ công ty được thêm vào đây.