Chính sách quyền riêng tư là văn bản công khai cho khách biết website của bạn thu dữ liệu gì, để làm gì, chia cho ai, giữ bao lâu và khách có quyền gì. Với Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân 2025, đây là cách chính để thực hiện nghĩa vụ thông báo và minh bạch, kể cả với một cửa hàng trực tuyến chỉ vài người vận hành.
Vấn đề của phần lớn website nhỏ không phải là thiếu chính sách, mà là chính sách chép từ mạng, nói về những thứ cửa hàng không làm và bỏ qua những thứ cửa hàng đang làm — như chatbot AI trả lời khách, mã theo dõi quảng cáo, phần mềm gửi tin nhắn. Bài này chỉ cách viết một bản đúng với thực tế của bạn.
Vì sao cửa hàng nhỏ cũng cần một bản chính sách thật
Một chính sách quyền riêng tư làm ba việc. Thứ nhất, nó là phần thông báo mà pháp luật yêu cầu trước khi thu dữ liệu: khách cần đọc được ở đâu đó rằng số điện thoại của họ được dùng để giao hàng và gửi khuyến mãi nếu họ chọn. Thứ hai, nó là cam kết công khai: viết rằng không chia dữ liệu cho bên thứ ba thì phải làm đúng như vậy. Thứ ba, nó là bằng chứng khi có câu hỏi từ khách, đối tác hoặc cơ quan chức năng.
Nhiều nền tảng quảng cáo, cổng thanh toán và chợ ứng dụng cũng yêu cầu website có chính sách quyền riêng tư mới cho kết nối. Nếu bạn chép một bản mẫu cho có, rủi ro nằm ở chỗ bản đó cam kết những điều bạn không làm được, chẳng hạn “dữ liệu được lưu tại máy chủ ở Việt Nam” trong khi website chạy trên dịch vụ lưu trữ nước ngoài.
Tin tốt là website nhỏ thường có dòng dữ liệu đơn giản. Một bản chính sách rõ ràng có thể chỉ dài một đến hai trang, đọc trong năm phút, và vẫn đầy đủ hơn nhiều bản mẫu dài mười trang.
Các mục nên có trong chính sách
Danh sách dưới đây theo tinh thần nghĩa vụ thông báo của pháp luật hiện hành; đặt tên mục bằng câu hỏi giúp khách dễ tìm.
- Ai giữ dữ liệu của bạn: tên cửa hàng hoặc doanh nghiệp, địa chỉ, kênh liên hệ về dữ liệu cá nhân.
- Cửa hàng thu những gì: thông tin khách tự điền, thông tin tự động (địa chỉ IP, cookie), thông tin từ bên khác (đăng nhập bằng tài khoản mạng xã hội).
- Để làm gì: từng mục đích, ghi rõ mục nào cần đồng ý riêng.
- Chia cho ai: đơn vị giao hàng, cổng thanh toán, phần mềm bán hàng, công cụ gửi email, dịch vụ AI, nền tảng quảng cáo — theo loại.
- Có xử lý ở nước ngoài không: nếu dịch vụ lưu trữ hay công cụ đặt máy chủ ngoài Việt Nam.
- Giữ bao lâu: mốc hoặc điều kiện xoá cho từng loại dữ liệu.
- Bảo vệ thế nào: mô tả biện pháp chính ở mức khách hiểu, không phóng đại.
- Quyền của bạn và cách thực hiện: xem, sửa, xoá, rút đồng ý, phản đối quảng cáo — kèm kênh gửi yêu cầu.
- Trẻ em: website có dành cho trẻ không, xử lý dữ liệu trẻ thế nào.
- Thay đổi chính sách: ngày cập nhật gần nhất và cách thông báo khi có thay đổi lớn.
Về giọng văn: chính sách là lời của cửa hàng nói với khách, nên dùng tên cửa hàng làm chủ ngữ và giữ thống nhất từ đầu đến cuối. Một bản lúc tự xưng ngôi thứ nhất, lúc gọi “công ty”, lúc lại “bên bán” khiến khách khó biết ai đang cam kết điều gì.
Kiểm kê dữ liệu trước khi viết chữ nào
Chính sách chỉ đúng khi bạn biết chính xác dữ liệu đang chảy đi đâu. Dành một buổi để làm bản kiểm kê theo các bước:
- Mở từng biểu mẫu trên website — đặt hàng, đăng ký, liên hệ, bình luận — và ghi lại từng ô nhập liệu.
- Liệt kê mọi dịch vụ gắn vào website: nền tảng làm web, phần mềm bán hàng, cổng thanh toán, công cụ đo lượt truy cập, mã theo dõi quảng cáo, khung chat, chatbot AI, công cụ gửi email.
- Với mỗi dịch vụ, ghi: nhận dữ liệu gì, để làm gì, máy chủ ở đâu (theo thông tin nhà cung cấp công bố), có dùng dữ liệu cho mục đích riêng không.
- Hỏi người vận hành: dữ liệu đơn hàng có được xuất ra Excel không, lưu ở máy ai, có gửi qua ứng dụng nhắn tin cho bên giao hàng không.
- Ghi thời gian lưu thực tế hiện nay, kể cả khi đó là “chưa bao giờ xoá” — để biết cần sửa gì.
- Đánh dấu chỗ nào có dữ liệu nhạy cảm, chỗ nào có dữ liệu trẻ em.
- Lưu bản kiểm kê này nội bộ; nó cũng là phần lõi của hồ sơ đánh giá tác động nếu sau này bạn cần lập.
Ví dụ giả định: một shop đồ handmade kiểm kê và phát hiện plugin đánh giá sản phẩm gửi email khách cho một dịch vụ nước ngoài mà chủ shop không biết. Chính sách cũ không nhắc tới; bản mới phải nhắc, hoặc gỡ plugin.
Viết phần về AI trong chính sách
Nếu website dùng chatbot AI trả lời khách, dùng AI để gợi ý sản phẩm, hoặc nhân viên dùng công cụ AI để xử lý đơn và tin nhắn, chính sách nên có một đoạn riêng. Khách ngày càng quan tâm tới việc lời mình nhắn có được đưa cho một hệ thống AI hay không, và luật mới cũng chú ý tới minh bạch khi dùng AI xử lý dữ liệu cá nhân.
Đoạn này cần trả lời: website dùng AI vào việc gì; nội dung khách gửi có được chuyển cho nhà cung cấp AI không, có thể ở nước ngoài không; nhà cung cấp có dùng nội dung đó để huấn luyện mô hình không (theo điều khoản bạn đã đọc); có quyết định nào ảnh hưởng tới khách do AI tự đưa ra không, và khách có thể yêu cầu người thật xem lại không.
Ví dụ giả định một đoạn ngắn: “Khung trò chuyện trên trang sử dụng dịch vụ trí tuệ nhân tạo của bên thứ ba để trả lời câu hỏi về sản phẩm. Nội dung bạn nhắn được gửi tới nhà cung cấp dịch vụ này, có thể xử lý ngoài Việt Nam, và theo điều khoản hiện hành không được dùng để huấn luyện mô hình. Vui lòng không nhắn số tài khoản, mật khẩu hay thông tin sức khoẻ trong khung trò chuyện. Bạn có thể yêu cầu nói chuyện với nhân viên bất cứ lúc nào.”
Câu nhắc khách không nhắn thông tin nhạy cảm vừa bảo vệ khách vừa giảm lượng dữ liệu bạn phải chịu trách nhiệm.
Dùng AI soạn nháp mà không thành bản mẫu rỗng
Đưa bản kiểm kê, không đưa dữ liệu khách. Bản kiểm kê ở trên chỉ chứa tên loại dữ liệu và tên loại dịch vụ, không chứa thông tin của ai, nên an toàn để đưa vào chatbot.
Ra lệnh cụ thể. Câu lệnh mẫu: “Dựa trên bảng kiểm kê sau, viết chính sách quyền riêng tư cho website bán đồ handmade nhỏ ở Việt Nam, giọng thân thiện, dưới 1.000 chữ, mỗi mục đặt tiêu đề dạng câu hỏi, chỉ mô tả đúng những gì có trong bảng, chỗ nào thiếu thông tin thì để dấu ba chấm cho chủ shop điền.”
Cấm AI tự hứa. Thêm câu: “Không tự thêm các cam kết về mã hoá, chứng nhận, vị trí máy chủ nếu bảng không nêu.” AI có xu hướng viết những câu nghe chuyên nghiệp nhưng sai với thực tế.
Đối chiếu từng dòng. In bản nháp và bản kiểm kê cạnh nhau, gạch từng dòng. Mỗi câu trong chính sách phải chỉ được về một dòng trong kiểm kê.
Kiểm phần pháp lý. AI có thể nhầm tên văn bản, nêu số điều sai, hoặc trộn luật nước khác vào. Xoá mọi viện dẫn bạn không kiểm được; một câu chung “theo quy định pháp luật Việt Nam hiện hành về bảo vệ dữ liệu cá nhân” an toàn hơn một số điều sai.
Viết mơ hồ và viết rõ: so sánh từng câu
Câu chữ mơ hồ làm chính sách mất giá trị cả với khách lẫn khi cần chứng minh. Dưới đây là các cặp ví dụ giả định.
| Viết mơ hồ | Viết rõ |
|---|---|
| Một số thông tin của bạn có thể được thu thập | Cửa hàng thu họ tên, số điện thoại, địa chỉ giao hàng khi bạn đặt hàng |
| Để nâng cao trải nghiệm người dùng | Để giao hàng, liên hệ khi đơn có vấn đề, và gửi khuyến mãi nếu bạn chọn nhận |
| Thông tin có thể được chia sẻ với các đối tác liên quan | Địa chỉ và số điện thoại được gửi cho đơn vị giao hàng để giao đơn của bạn |
| Thông tin được lưu trữ trong thời gian cần thiết | Thông tin đơn hàng giữ theo thời hạn lưu chứng từ; dữ liệu nhận khuyến mãi xoá khi bạn huỷ đăng ký |
| Dữ liệu được bảo vệ bằng các biện pháp bảo mật tiên tiến | Chỉ chủ shop và một nhân viên có tài khoản xem đơn hàng; tài khoản bật xác thực hai lớp |
| Vui lòng liên hệ nếu có thắc mắc | Gửi yêu cầu xem, sửa, xoá dữ liệu qua email hoặc tin nhắn trên trang, phản hồi trong vòng 7 ngày làm việc |
Cột phải dài hơn một chút nhưng mỗi câu đều kiểm được. Đó cũng là cột mà khách đọc xong thấy yên tâm hơn. Mốc thời gian phản hồi trong ví dụ là cam kết tự đặt của cửa hàng; bạn đặt mốc mình làm được và không dài hơn thời hạn pháp luật yêu cầu.
Đặt chính sách ở đâu và cập nhật khi nào
Chính sách nên có đường dẫn ở chân trang trên mọi trang, và được nhắc ngay cạnh mỗi biểu mẫu thu dữ liệu: “Xem cách cửa hàng dùng thông tin của bạn”. Ở biểu mẫu đăng ký nhận tin, lời xin đồng ý ngắn đặt ngay cạnh ô đánh dấu, còn chính sách đầy đủ là nơi khách đọc thêm nếu muốn.
Cập nhật chính sách mỗi khi có thay đổi trong dòng dữ liệu: thêm một dịch vụ mới gắn vào website, bắt đầu dùng chatbot AI, chuyển sang phần mềm bán hàng khác, mở bán cho khách ở nước ngoài. Ngoài ra nên rà định kỳ, ví dụ mỗi năm một lần, và mỗi khi có văn bản hướng dẫn mới của Luật Bảo vệ dữ liệu cá nhân.
Giữ lại các phiên bản cũ kèm ngày áp dụng. Khi khách hỏi lúc họ đăng ký thì chính sách nói gì, bạn cần trả lời được. Thay đổi lớn, như bắt đầu dùng dữ liệu cho mục đích mới, không thể chỉ sửa chính sách là xong mà cần xin đồng ý lại với những khách bị ảnh hưởng.
Câu hỏi thường gặp
Chính sách quyền riêng tư và điều khoản sử dụng có thể gộp làm một không?
Nên tách. Điều khoản sử dụng nói về quan hệ mua bán và quy tắc dùng website, còn chính sách quyền riêng tư nói về dữ liệu. Gộp lại khiến khách khó tìm và dễ làm sự đồng ý về dữ liệu bị lẫn vào việc chấp nhận điều khoản dịch vụ.
Website chỉ có trang giới thiệu, không có biểu mẫu thì có cần chính sách không?
Nếu website có công cụ đo lượt truy cập, mã theo dõi quảng cáo hoặc khung chat thì vẫn đang thu dữ liệu như địa chỉ IP và cookie. Một bản chính sách ngắn mô tả đúng những công cụ đó là cần thiết.
Có cần thông báo cookie bật lên khi khách vào trang không?
Pháp luật Việt Nam theo nguyên lý yêu cầu thông báo và có căn cứ khi xử lý dữ liệu, trong đó có dữ liệu thu qua cookie dùng cho quảng cáo. Hình thức cụ thể như hộp thông báo bật lên nên kiểm theo hướng dẫn hiện hành; ít nhất chính sách phải mô tả rõ cookie dùng để làm gì.
Chép chính sách của một website lớn rồi sửa tên có được không?
Rủi ro cao vì website lớn có dòng dữ liệu khác hẳn, và bản chép có thể cam kết những điều bạn không làm. Ngoài ra văn bản đó còn là tài liệu có bản quyền. Hãy dùng nó để tham khảo cấu trúc rồi tự viết theo bản kiểm kê của mình.
Ai trong cửa hàng nên chịu trách nhiệm cập nhật chính sách?
Nên giao cho một người cụ thể, thường là chủ cửa hàng hoặc người quản lý website, kèm nhiệm vụ báo khi có dịch vụ mới gắn vào trang. Không có người chịu trách nhiệm thì chính sách sẽ cũ đi rất nhanh.