ZoneTechChính sách bảo mật thông tin khách hàng: 8 mục và mẫu cho web bán hàng
Chính sách bảo mật thông tin khách hàng là trang cho khách biết website thu dữ liệu gì, dùng làm gì, lưu bao lâu, chia sẻ cho ai và cách xem, sửa, xóa dữ liệu. Website có form đặt hàng hay liên hệ đều cần trang này. Bài này đi sâu vào cách viết từng mục, là phần mở rộng của bài chính sách đổi trả và các trang pháp lý website.
Tóm tắt nhanh
- Điều 11 Luật Thương mại điện tử 2025 (hiệu lực 01/7/2026) yêu cầu nền tảng thương mại điện tử, gồm website bán hàng, công khai chính sách bảo mật, viết bằng tiếng Việt dễ hiểu và đặt ở chỗ dễ thấy.
- Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 có hiệu lực: khách có quyền biết, đồng ý, rút đồng ý, xem, sửa và yêu cầu xóa dữ liệu.
- Im lặng không được coi là đồng ý, nên ô tích sẵn ở form đặt hàng là cách làm sai.
- Một chính sách đủ dùng cho shop nhỏ có 8 mục, dài khoảng 1-2 trang A4.
Chính sách bảo mật thông tin khách hàng là gì, ai phải có?
Đây là văn bản công khai mô tả cách bạn thu thập và xử lý thông tin cá nhân của người mua; SSL, sao lưu là việc kỹ thuật để giữ cam kết đó.
Có hai căn cứ chính. Thứ nhất, Điều 11 Luật Thương mại điện tử 2025 (hiệu lực 01/7/2026) liệt kê chính sách bảo mật trong nhóm nội dung mọi nền tảng phải công khai (Hệ thống pháp luật, Điều 11). Thứ hai, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 01/01/2026 quy định quyền của người có dữ liệu và nghĩa vụ của bên thu thập (LSVN).
Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn một số nghĩa vụ theo Nghị định 356/2025/NĐ-CP, doanh nghiệp nhỏ được ân hạn 5 năm từ 1/1/2026 (trừ khi xử lý dữ liệu nhạy cảm) (VCCI). Dù được miễn, website có đặt hàng vẫn phải công khai chính sách.
8 mục cần có trong chính sách bảo mật
Một chính sách đủ dùng trả lời 8 câu hỏi của khách, gom từ các yêu cầu của Luật 91/2025 (quyền ở Điều 4, đồng ý ở Điều 9, xóa ở Điều 14).
| # | Mục | Câu hỏi của khách | Ghi chú khi viết |
|---|---|---|---|
| 1 | Đơn vị thu thập | Ai giữ dữ liệu của tôi? | Tên hộ kinh doanh hoặc công ty, địa chỉ, mã số thuế, số điện thoại |
| 2 | Dữ liệu thu thập | Bạn lấy những gì? | Liệt kê đúng ô trong form: họ tên, số điện thoại, địa chỉ giao hàng, email |
| 3 | Mục đích | Để làm gì? | Giao hàng, xuất hóa đơn, chăm sóc sau bán; quảng cáo phải ghi riêng |
| 4 | Thời gian lưu | Lưu bao lâu? | Ghi theo từng loại dữ liệu, có mốc cụ thể |
| 5 | Bên nhận dữ liệu | Ai khác được xem? | Đơn vị vận chuyển, cổng thanh toán, nền tảng web, phần mềm kế toán |
| 6 | Quyền của khách | Tôi làm được gì? | Xem, sửa, rút đồng ý, yêu cầu xóa, khiếu nại |
| 7 | Cách bảo vệ | Bạn giữ an toàn thế nào? | HTTPS, phân quyền nhân viên, mật khẩu hai lớp |
| 8 | Liên hệ, cập nhật | Hỏi ai, sửa lúc nào? | Email, số điện thoại, ngày cập nhật gần nhất |
Mục 4 hay bị bỏ trống. Luật Thương mại điện tử 2025 yêu cầu website bán hàng có chức năng đặt hàng bảo đảm truy cập được dữ liệu hợp đồng ít nhất 3 năm; hộ kinh doanh và doanh nghiệp siêu nhỏ ít nhất 1 năm, áp dụng trong 5 năm đầu kể từ khi thành lập (Hệ thống pháp luật, Điều 16). Dùng mốc này cho dữ liệu đơn hàng; dữ liệu khuyến mãi ghi "đến khi khách rút đồng ý".
Mẫu chính sách bảo mật cho cửa hàng nhỏ
Mẫu dưới viết cho một cửa hàng trà bán qua website (ví dụ giả định). Thay phần trong ngoặc vuông, xóa câu không đúng với cách bạn làm.
1. Đơn vị thu thập. Website [tên miền] do [tên hộ kinh doanh/công ty], mã số thuế […], địa chỉ […] quản lý. Mọi câu hỏi về dữ liệu gửi về [email], [số điện thoại].
2. Thông tin được thu thập. Khi bạn đặt hàng: họ tên, số điện thoại, địa chỉ nhận hàng, email (không bắt buộc). Khi bạn gửi form liên hệ: họ tên, số điện thoại, nội dung tin nhắn. Website dùng cookie để nhớ giỏ hàng.
3. Mục đích sử dụng. Xác nhận và giao đơn, xuất hóa đơn, xử lý đổi trả, trả lời câu hỏi. [Tên cửa hàng] chỉ gửi tin khuyến mãi khi bạn tích chọn ô đồng ý riêng.
4. Thời gian lưu. Dữ liệu đơn hàng lưu [3 năm/1 năm] theo Luật Thương mại điện tử. Dữ liệu nhận khuyến mãi lưu đến khi bạn hủy đăng ký.
5. Chia sẻ. [Tên cửa hàng] chỉ chuyển tên, số điện thoại, địa chỉ cho đơn vị giao hàng [tên] và thông tin thanh toán cho [tên cổng thanh toán] để hoàn tất đơn.
6. Quyền của bạn. Bạn có quyền xem, sửa, yêu cầu xóa dữ liệu, rút lại đồng ý nhận quảng cáo bằng cách nhắn [kênh]. Cửa hàng trả lời trong [số ngày] ngày làm việc.
7. Bảo vệ dữ liệu. Website dùng HTTPS; chỉ nhân viên xử lý đơn được xem thông tin khách.
8. Cập nhật. Chính sách cập nhật lần cuối ngày […].
Mẫu là khung tham khảo, không thay ý kiến luật sư; shop thu dữ liệu sức khỏe, trẻ em hay tài chính cần soạn kỹ hơn.
Tự viết, dùng mẫu nền tảng hay thuê luật sư?
Shop bán hàng tiêu dùng thông thường tự viết theo khung 8 mục là đủ. So sánh ba cách làm (đánh giá định tính):
| Cách làm | Thời gian | Ưu điểm | Rủi ro | Hợp với |
|---|---|---|---|---|
| Tự viết theo khung 8 mục | 2-4 giờ | Khớp đúng form và quy trình của shop | Dễ sót quyền của khách | Hộ kinh doanh, shop bán lẻ |
| Dùng mẫu có sẵn của nền tảng web | Dưới 1 giờ | Nhanh, có sẵn bố cục | Mẫu chung, dễ chưa cập nhật Luật 91/2025 | Chỉ dùng làm bản nháp |
| Thuê luật sư soạn | Vài ngày | Chặt chẽ, có tư vấn rủi ro | Tốn phí, văn bản dài khó đọc | Doanh nghiệp xử lý dữ liệu nhạy cảm |
Đừng chép chính sách của website khác: bản chép thường ghi tên đơn vị cũ, liệt kê dữ liệu bạn không thu.
Lấy sự đồng ý của khách đúng cách
Điều 9 Luật 91/2025 quy định sự đồng ý chỉ có hiệu lực khi khách tự nguyện và biết rõ loại dữ liệu, mục đích, bên giữ dữ liệu cùng quyền của mình; đồng ý phải tách riêng cho từng mục đích, và "sự im lặng hoặc không phản hồi không được coi là sự đồng ý" (Hệ thống pháp luật, Điều 9).
Áp vào form đặt hàng:
- Thêm dòng "Tôi đã đọc chính sách bảo mật" có link tới trang chính sách, ô này để trống cho khách tự tích.
- Tách ô "Nhận tin khuyến mãi qua Zalo/SMS" thành ô riêng, không gộp với ô đặt hàng.
- Lưu lại thời điểm khách tích đồng ý.
Với quảng cáo, khách phải có cách từ chối nhận tin, nên mỗi tin khuyến mãi có câu "Nhắn HỦY để ngừng nhận".
Xử lý khi khách yêu cầu xem, sửa, xóa dữ liệu
Ví dụ giả định: khách nhắn Zalo "xóa số điện thoại của tôi".
- Ghi yêu cầu vào sổ: ngày, tên khách, kênh.
- Kiểm tra khách có đơn trong thời hạn phải lưu không. Điều 14 Luật 91/2025 cho phép không xóa trong một số trường hợp luật định, và nếu không xóa được thì phải báo cho khách lý do (Hệ thống pháp luật, Điều 14).
- Gỡ khách khỏi danh sách khuyến mãi ngay; dữ liệu đơn còn trong hạn lưu thì giữ, chỉ dùng cho hóa đơn, đổi trả.
- Nhắn lại khách dữ liệu nào đã xóa, dữ liệu nào còn lưu đến khi nào.
Checklist trước khi đăng trang chính sách
- [ ] Đủ 8 mục, tên đơn vị và thông tin liên hệ đúng với giấy đăng ký kinh doanh.
- [ ] Danh sách dữ liệu khớp từng ô trong form đặt hàng, form liên hệ, form đổi trả.
- [ ] Ghi đúng đơn vị giao hàng, cổng thanh toán đang dùng.
- [ ] Có thời hạn lưu cụ thể cho dữ liệu đơn hàng và dữ liệu khuyến mãi.
- [ ] Ô đồng ý ở form để trống, ô nhận khuyến mãi tách riêng.
- [ ] Link chính sách đặt ở chân trang và cạnh nút đặt hàng.
- [ ] Có ngày cập nhật và người phụ trách trả lời khách.
- [ ] Đối chiếu trang đổi trả để hai trang không mâu thuẫn về thời gian lưu.
Cần người làm cùng? Xem ZoneWeb – website bán hàng.
Câu hỏi thường gặp
Shop bán qua Facebook, Zalo, không có website có cần chính sách bảo mật không?
Yêu cầu công khai ở Điều 11 gắn với website, ứng dụng. Giữ danh sách khách từ Facebook, Zalo thì vẫn phải tuân thủ Luật Bảo vệ dữ liệu cá nhân, nên ghi ngắn mục đích sử dụng ở phần giới thiệu trang.
Chính sách bảo mật và điều khoản sử dụng có gộp chung được không?
Được, nhưng nên tách hai phần có tiêu đề riêng để khách dễ tìm và bạn dễ sửa.
Bao lâu nên cập nhật chính sách bảo mật một lần?
Mỗi khi đổi đơn vị giao hàng, cổng thanh toán, thêm form mới hoặc dùng dữ liệu khách để quảng cáo; ngoài ra rà lại mỗi năm một lần.
Website trên Haravan, Sapo có sẵn chính sách bảo mật chưa?
Nhiều giao diện có trang mẫu chung. Bạn cần sửa tên đơn vị, dữ liệu thu, bên nhận và thời hạn lưu cho đúng thực tế.
Đọc tiếp: đổi trả hàng và quy định đổi trả hàng
Cập nhật lần cuối: 18/10/2026 · Biên soạn: Nguyễn Văn Lâm · Người duyệt: Đỗ Hữu Thuận