Chính sách quyền riêng tư

1. Phạm vi áp dụng

KASATI Running là hệ thống quản lý giải chạy nội bộ do KASATI vận hành. Chính sách này áp dụng cho tài khoản người dùng, dữ liệu giải đấu, dữ liệu Activity được người dùng cho phép đồng bộ từ Strava và các dữ liệu kỹ thuật phát sinh khi sử dụng hệ thống.

2. Dữ liệu chúng tôi có thể thu thập

• Thông tin tài khoản: tên đăng nhập, họ tên, email, số điện thoại, giới tính và thông tin phân quyền.
• Thông tin kết nối Strava: Strava Athlete ID, phạm vi quyền (scope), thời hạn token và OAuth token được mã hóa trong cơ sở dữ liệu. KASATI Running không thu thập mật khẩu Strava.
• Dữ liệu Activity: Activity ID, tên Activity, loại môn thể thao, ngày giờ, quãng đường, moving time, elapsed time, tốc độ, pace, đường dẫn Strava và dữ liệu Activity cần thiết cho việc kiểm tra tính hợp lệ.
• Dữ liệu GPS/Map: khi giải đấu yêu cầu GPS, hệ thống có thể kiểm tra dữ liệu map/GPS do Strava cung cấp để xác nhận Activity đủ điều kiện tính điểm.
• Dữ liệu giải đấu: đăng ký giải, Team, điểm, quãng đường quy đổi, thứ hạng, trạng thái hoàn thành và kết quả kiểm duyệt Activity.
• Dữ liệu kỹ thuật: nhật ký hệ thống, địa chỉ IP, thời gian truy cập và sự kiện quản trị phục vụ bảo mật, kiểm tra lỗi và audit.

3. Mục đích sử dụng dữ liệu

• Xác thực và quản lý tài khoản VĐV.
• Đồng bộ Activity mà người dùng đã cấp quyền từ Strava.
• Kiểm tra điều kiện giải: môn thể thao, GPS/Map, thời gian, pace, cự ly và các quy tắc do BTC thiết lập.
• Tính quãng đường, quy đổi xe đạp/chạy bộ, điểm, pace trung bình và bảng xếp hạng.
• Quản trị giải đấu, xử lý khiếu nại, kiểm tra gian lận và xuất báo cáo.
• Bảo đảm an toàn hệ thống, phát hiện lỗi và phòng chống truy cập trái phép.

4. Kết nối với Strava

Việc kết nối Strava là tự nguyện và được thực hiện bằng OAuth. Người dùng được chuyển đến Strava để đăng nhập và cấp quyền. KASATI Running chỉ nhận dữ liệu trong phạm vi quyền mà người dùng đã chấp thuận.

Người dùng có thể ngắt kết nối Strava tại trang Tài khoản. Khi ngắt kết nối, hệ thống thu hồi/xóa OAuth token và xóa liên kết Athlete ID. Các bản ghi Activity hoặc kết quả giải đã đồng bộ trước đó có thể vẫn được lưu để duy trì lịch sử giải, audit và xử lý kết quả, trừ khi có yêu cầu xóa dữ liệu hợp lệ.

5. GPS, Map và kiểm tra Activity

Một số giải có thể yêu cầu Activity phải có Map/GPS trên Strava. Mục đích là xác minh Activity đáp ứng quy định của BTC. Có Map/GPS không đồng nghĩa hệ thống có thể xác định tuyệt đối người dùng đang chạy, đi bộ hay sử dụng phương tiện; vì vậy hệ thống có thể kết hợp loại Activity, pace và các điều kiện khác để đánh giá.

6. Chia sẻ và công khai dữ liệu

Dữ liệu được sử dụng trong phạm vi vận hành KASATI Running và phục vụ giải đấu nội bộ. Một số thông tin thành tích như tên VĐV, Team, tổng KM quy đổi, pace trung bình, điểm và thứ hạng có thể được hiển thị cho người dùng có quyền truy cập vào giải đấu.

Chúng tôi không bán dữ liệu cá nhân. Dữ liệu chỉ được chia sẻ với bên thứ ba khi cần thiết để cung cấp dịch vụ, tuân thủ yêu cầu pháp lý, bảo vệ hệ thống hoặc khi người dùng đã cho phép.

7. Bảo mật

• Mật khẩu hệ thống được lưu bằng hàm băm an toàn; không lưu dạng văn bản thuần.
• Strava OAuth token được mã hóa trước khi lưu.
• Các truy vấn cơ sở dữ liệu sử dụng prepared statements.
• Hệ thống áp dụng phân quyền Admin / Manager / User và CSRF protection cho các thao tác thay đổi dữ liệu.
• Quyền truy cập dữ liệu được giới hạn theo vai trò và chức năng nghiệp vụ.

8. Thời gian lưu trữ

Dữ liệu được lưu trong thời gian cần thiết để vận hành tài khoản, tổ chức giải, duy trì kết quả, xử lý khiếu nại, audit và đáp ứng nghĩa vụ nội bộ/pháp lý. OAuth token Strava được xóa khi người dùng ngắt kết nối. Người dùng có thể gửi yêu cầu xóa dữ liệu cá nhân hoặc dữ liệu Strava đã đồng bộ để được xem xét theo quy định áp dụng.

9. Quyền của người dùng

• Xem và cập nhật thông tin hồ sơ cá nhân.
• Ngắt kết nối Strava và thu hồi quyền truy cập.
• Yêu cầu hỗ trợ chỉnh sửa thông tin không thể tự thay đổi.
• Yêu cầu xóa tài khoản hoặc dữ liệu cá nhân/Strava đã đồng bộ, tùy theo yêu cầu lưu trữ bắt buộc của giải đấu và quy định áp dụng.
• Liên hệ bộ phận phụ trách quyền riêng tư để hỏi về việc xử lý dữ liệu.

10. Dịch vụ bên thứ ba

Strava là dịch vụ của bên thứ ba và có chính sách, điều khoản riêng. Việc sử dụng tài khoản Strava của người dùng vẫn chịu sự điều chỉnh bởi điều khoản và chính sách của Strava.