Chính sách bảo mật thông tin khách hàng: 8 mục và mẫu cho web bán hàng

Chính sách bảo mật thông tin khách hàng là trang cho khách biết website thu dữ liệu gì, dùng làm gì, lưu bao lâu, chia sẻ cho ai. Trang cũng chỉ cách khách xem, sửa, xóa dữ liệu của mình. Website có form đặt hàng hay liên hệ đều cần trang này. Bài này đi sâu vào cách viết từng mục, là phần mở rộng của bài chính sách đổi trả và các trang pháp lý website.

Tóm tắt nhanh

• Điều 11 Luật Thương mại điện tử 2025 (hiệu lực 01/7/2026) yêu cầu nền tảng thương mại điện tử, gồm website bán hàng, công khai chính sách bảo mật. Chính sách viết bằng tiếng Việt dễ hiểu và đặt ở chỗ dễ thấy.
• Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 có hiệu lực. Khách có quyền biết, đồng ý, rút đồng ý, xem, sửa và yêu cầu xóa dữ liệu.
• Im lặng không được coi là đồng ý, nên ô tích sẵn ở form đặt hàng là cách làm sai.
• Một chính sách bảo mật thông tin khách hàng đủ dùng cho shop nhỏ có 8 mục, dài khoảng 1-2 trang A4.

Chính sách bảo mật thông tin khách hàng là gì, ai phải có?

Chính sách bảo mật thông tin khách hàng là văn bản công khai mô tả cách bạn thu thập và xử lý thông tin cá nhân của người mua. SSL, sao lưu là việc kỹ thuật để giữ cam kết đó.

Dữ liệu cá nhân là thông tin gắn với một người cụ thể hoặc giúp nhận ra người đó, như họ tên, số điện thoại, địa chỉ. Sự đồng ý là việc khách cho phép rõ ràng để bạn xử lý dữ liệu của họ cho một mục đích đã nêu.

Chính sách bảo mật thông tin khách hàng có hai căn cứ pháp lý chính. Thứ nhất, Điều 11 Luật Thương mại điện tử 2025 (hiệu lực 01/7/2026) liệt kê chính sách bảo mật trong nhóm nội dung mọi nền tảng phải công khai. Nguồn: Hệ thống pháp luật, Điều 11. Văn bản hướng dẫn luật này là Nghị định 248/2026/NĐ-CP.

Thứ hai, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 01/01/2026. Luật quy định quyền của người có dữ liệu và nghĩa vụ của bên thu thập (LSVN).

Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn một số nghĩa vụ theo Nghị định 356/2025/NĐ-CP. Doanh nghiệp nhỏ được ân hạn 5 năm từ 1/1/2026, trừ khi xử lý dữ liệu nhạy cảm (VCCI). Dù được miễn, website có đặt hàng vẫn phải công khai chính sách bảo mật thông tin khách hàng.

8 mục cần có trong chính sách bảo mật thông tin khách hàng

Một chính sách bảo mật thông tin khách hàng đủ dùng trả lời 8 câu hỏi của khách. Các câu hỏi gom từ yêu cầu của Luật 91/2025: quyền ở Điều 4, đồng ý ở Điều 9, xóa ở Điều 14.

Trong chính sách bảo mật thông tin khách hàng, mục 4 hay bị bỏ trống. Luật Thương mại điện tử 2025 yêu cầu website bán hàng có chức năng đặt hàng bảo đảm truy cập được dữ liệu hợp đồng ít nhất 3 năm. Hộ kinh doanh và doanh nghiệp siêu nhỏ lưu ít nhất 1 năm, áp dụng trong 5 năm đầu kể từ khi thành lập (Hệ thống pháp luật, Điều 16). Dùng mốc này cho dữ liệu đơn hàng, còn dữ liệu khuyến mãi ghi “đến khi khách rút đồng ý”.

Mẫu chính sách bảo mật thông tin khách hàng cho cửa hàng nhỏ

Mẫu dưới viết cho một cửa hàng trà bán qua website (ví dụ giả định). Thay phần trong ngoặc vuông, xóa câu không đúng với cách bạn làm.

1. Đơn vị thu thập. Website [tên miền] do [tên hộ kinh doanh/công ty], mã số thuế […], địa chỉ […] quản lý. Mọi câu hỏi về dữ liệu gửi về [email], [số điện thoại].

2. Thông tin được thu thập. Khi bạn đặt hàng: họ tên, số điện thoại, địa chỉ nhận hàng, email (không bắt buộc). Khi bạn gửi form liên hệ: họ tên, số điện thoại, nội dung tin nhắn. Website dùng cookie để nhớ giỏ hàng.

3. Mục đích sử dụng. Xác nhận và giao đơn, xuất hóa đơn, xử lý đổi trả, trả lời câu hỏi. [Tên cửa hàng] chỉ gửi tin khuyến mãi khi bạn tích chọn ô đồng ý riêng.

4. Thời gian lưu. Dữ liệu đơn hàng lưu [3 năm/1 năm] theo Luật Thương mại điện tử. Dữ liệu nhận khuyến mãi lưu đến khi bạn hủy đăng ký.

5. Chia sẻ. [Tên cửa hàng] chỉ chuyển tên, số điện thoại, địa chỉ cho đơn vị giao hàng [tên]. Thông tin thanh toán chỉ chuyển cho [tên cổng thanh toán] để hoàn tất đơn.

6. Quyền của bạn. Bạn có quyền xem, sửa, yêu cầu xóa dữ liệu, rút lại đồng ý nhận quảng cáo bằng cách nhắn [kênh]. Cửa hàng trả lời trong [số ngày] ngày làm việc.

7. Bảo vệ dữ liệu. Website dùng HTTPS. Chỉ nhân viên xử lý đơn được xem thông tin khách.

8. Cập nhật. Chính sách cập nhật lần cuối ngày […].

Mẫu chính sách bảo mật thông tin khách hàng này là khung tham khảo, không thay ý kiến luật sư. Shop thu dữ liệu sức khỏe, trẻ em hay tài chính cần soạn kỹ hơn.

Tiêu chí nào để đánh giá bản nháp?

Trước khi đăng, chấm bản nháp theo 5 tiêu chí dưới. Chính sách bảo mật thông tin khách hàng đạt khi mọi tiêu chí đều trả lời “có”.

Tự viết, dùng mẫu nền tảng hay thuê luật sư?

Shop bán hàng tiêu dùng thông thường tự viết chính sách bảo mật thông tin khách hàng theo khung 8 mục là đủ. So sánh ba cách làm dưới đây là đánh giá định tính, không phải số liệu khảo sát.

Đừng chép chính sách bảo mật thông tin khách hàng của website khác. Bản chép thường ghi tên đơn vị cũ và liệt kê dữ liệu bạn không thu.

Nên làm gì theo quy mô cửa hàng?

Quy mô khác nhau thì độ chi tiết khác nhau. Bảng dưới là gợi ý, không phải mức luật bắt buộc.

Lấy sự đồng ý của khách thế nào cho đúng?

Điều 9 Luật 91/2025 quy định sự đồng ý chỉ có hiệu lực khi khách tự nguyện và biết rõ loại dữ liệu, mục đích. Khách cũng phải biết bên giữ dữ liệu và quyền của mình. Đồng ý phải tách riêng cho từng mục đích. “Sự im lặng hoặc không phản hồi không được coi là sự đồng ý” (Hệ thống pháp luật, Điều 9).

Áp vào form đặt hàng và chính sách bảo mật thông tin khách hàng như sau.

• Thêm dòng “Tôi đã đọc chính sách bảo mật” có link tới trang chính sách, ô này để trống cho khách tự tích.
• Tách ô “Nhận tin khuyến mãi qua Zalo/SMS” thành ô riêng, không gộp với ô đặt hàng.
• Lưu lại thời điểm khách tích đồng ý.

Với quảng cáo, khách phải có cách từ chối nhận tin, nên mỗi tin khuyến mãi có câu “Nhắn HỦY để ngừng nhận”. Tin nhắn quảng cáo còn chịu Nghị định 91/2020/NĐ-CP về chống tin nhắn rác.

Xử lý khi khách yêu cầu xem, sửa, xóa dữ liệu

Ví dụ giả định: khách nhắn Zalo “xóa số điện thoại của tôi”.

1. Ghi yêu cầu vào sổ: ngày, tên khách, kênh.
2. Kiểm tra khách có đơn trong thời hạn phải lưu không. Điều 14 Luật 91/2025 cho phép không xóa trong một số trường hợp luật định. Nếu không xóa được thì phải báo cho khách lý do (Hệ thống pháp luật, Điều 14).
3. Gỡ khách khỏi danh sách khuyến mãi ngay. Dữ liệu đơn còn trong hạn lưu thì giữ, chỉ dùng cho hóa đơn, đổi trả.
4. Nhắn lại khách dữ liệu nào đã xóa, dữ liệu nào còn lưu đến khi nào.

Sổ ghi yêu cầu cũng là bằng chứng shop đã làm đúng chính sách bảo mật thông tin khách hàng khi có kiểm tra.

Sai lầm nào hay gặp khi viết chính sách bảo mật thông tin khách hàng?

• Chép nguyên mẫu của website khác, còn sót tên đơn vị cũ.
• Liệt kê dữ liệu không thu, hoặc thiếu dữ liệu đang thu như số Zalo, ảnh chụp đơn.
• Ghi “lưu vĩnh viễn” hoặc không ghi thời hạn lưu.
• Để ô đồng ý tích sẵn trong form đặt hàng.
• Không có tên người hay kênh nhận yêu cầu xem, sửa, xóa.
• Đổi đơn vị giao hàng nhưng quên sửa mục bên nhận dữ liệu.

Viết sai chính sách bảo mật thông tin khách hàng không chỉ làm mất điểm với khách. Thu, dùng thông tin người tiêu dùng không được đồng ý có mức phạt riêng theo Nghị định 24/2025/NĐ-CP. Các mức này được tổng hợp ở bài quy định đổi trả hàng. Nghĩa vụ bảo vệ thông tin người tiêu dùng còn nằm trong Luật Bảo vệ quyền lợi người tiêu dùng 2023.

Checklist trước khi đăng trang chính sách

• [ ] Đủ 8 mục, tên đơn vị và thông tin liên hệ đúng với giấy đăng ký kinh doanh.
• [ ] Danh sách dữ liệu khớp từng ô trong form đặt hàng, form liên hệ, form đổi trả.
• [ ] Ghi đúng đơn vị giao hàng, cổng thanh toán đang dùng.
• [ ] Có thời hạn lưu cụ thể cho dữ liệu đơn hàng và dữ liệu khuyến mãi.
• [ ] Ô đồng ý ở form để trống, ô nhận khuyến mãi tách riêng.
• [ ] Link chính sách đặt ở chân trang và cạnh nút đặt hàng.
• [ ] Có ngày cập nhật và người phụ trách trả lời khách.
• [ ] Đối chiếu trang đổi trả để hai trang không mâu thuẫn về thời gian lưu.

Cần người làm cùng? Xem ZoneWeb – website bán hàng.

Câu hỏi thường gặp

Shop bán qua Facebook, Zalo, không có website có cần chính sách bảo mật thông tin khách hàng không?

Yêu cầu công khai ở Điều 11 gắn với website, ứng dụng. Giữ danh sách khách từ Facebook, Zalo thì vẫn phải tuân thủ Luật Bảo vệ dữ liệu cá nhân. Nên ghi ngắn mục đích sử dụng ở phần giới thiệu trang.

Chính sách bảo mật thông tin khách hàng và điều khoản sử dụng có gộp chung được không?

Được, nhưng nên tách hai phần có tiêu đề riêng để khách dễ tìm và bạn dễ sửa.

Bao lâu nên cập nhật chính sách bảo mật thông tin khách hàng một lần?

Mỗi khi đổi đơn vị giao hàng, cổng thanh toán, thêm form mới hoặc dùng dữ liệu khách để quảng cáo. Ngoài ra rà lại mỗi năm một lần.

Website trên Haravan, Sapo có sẵn chính sách bảo mật thông tin khách hàng chưa?

Nhiều giao diện có trang mẫu chính sách bảo mật thông tin khách hàng dùng chung. Bạn cần sửa tên đơn vị, dữ liệu thu, bên nhận và thời hạn lưu cho đúng thực tế.

Chính sách bảo mật thông tin khách hàng nên dài bao nhiêu?

Với shop nhỏ, khoảng 1-2 trang A4 là đủ cho 8 mục. Dài hơn chưa chắc tốt hơn, vì khách cần đọc hiểu được.

Có cần nêu tên phần mềm, nền tảng đang dùng không?

Nên nêu ở mục bên nhận dữ liệu của chính sách bảo mật thông tin khách hàng. Nền tảng web, phần mềm kế toán hay cổng thanh toán đều có thể thấy dữ liệu khách.

Muốn biết thêm về đội ngũ, bạn xem trang giới thiệu ZoneTech. Cần trao đổi thêm, bạn gọi hoặc nhắn Zalo 0976.179.886, hoặc gửi yêu cầu ở trang liên hệ.

Cập nhật lần cuối: 27/10/2026 · Biên soạn: Đỗ Hữu Thuận