Chính sách bảo mật thông tin

Cách Derma 4.0 MD thu thập, sử dụng, lưu trữ và bảo vệ thông tin cá nhân của khách hàng.

1. Chấp thuận khi sử dụng nền tảng

• Bằng việc truy cập, sử dụng website dermatreatment.com.vn và các kênh chính thức của CÔNG TY TNHH MTV THẨM MỸ CAO YẾN (Hotline, Zalo, Fanpage), khách hàng xác nhận đã đọc, hiểu và đồng ý với Chính sách bảo mật này cùng các điều kiện giao dịch chung được công bố trên website. Khách hàng không đồng ý vui lòng ngừng sử dụng website hoặc liên hệ để được hỗ trợ theo cách khác.
• Khi đăng ký tài khoản, đặt hàng, đặt lịch hoặc gửi biểu mẫu, khách hàng thể hiện sự đồng ý rõ ràng bằng cách đánh dấu vào ô "Tôi đã đọc và đồng ý với Chính sách bảo mật" trước khi hoàn tất thao tác. Khách hàng có quyền rút lại sự đồng ý bất kỳ lúc nào theo mục 8; việc rút lại không ảnh hưởng đến tính hợp pháp của việc xử lý đã thực hiện trước đó.
• Website hiển thị thông báo cookie ngay lần truy cập đầu tiên; việc tiếp tục sử dụng website sau thông báo được hiểu là khách hàng chấp nhận cookie cần thiết cho hoạt động của website. Cookie thống kê, tiếp thị (nếu có) chỉ được bật khi khách hàng lựa chọn đồng ý.
• Khi chính sách được cập nhật, phiên bản mới có hiệu lực kể từ ngày công bố trên website; việc tiếp tục sử dụng nền tảng sau ngày đó được xem là chấp thuận phiên bản mới. Thay đổi về mục đích xử lý dữ liệu sẽ được xin lại sự đồng ý của khách hàng.

2. Mục đích và phạm vi thu thập thông tin

Khi tư vấn, đặt hàng, đặt lịch dịch vụ hoặc gửi phản ánh trên website dermatreatment.com.vn và các kênh chính thức (Hotline, Zalo, Fanpage), chúng tôi thu thập những thông tin cần thiết sau:

• Họ và tên; số điện thoại, tài khoản Zalo; địa chỉ nhận hàng; địa chỉ email (nếu khách hàng cung cấp);
• Thông tin đơn hàng, lịch hẹn và lịch sử giao dịch;
• Tình trạng da, nhu cầu chăm sóc và hình ảnh do khách hàng chủ động cung cấp để được tư vấn sản phẩm, dịch vụ phù hợp;
• Thông tin tài khoản người dùng (khi website cung cấp chức năng đăng ký tài khoản): tên đăng nhập, số điện thoại hoặc email dùng để đăng nhập, mật khẩu (chỉ lưu ở dạng băm một chiều, không lưu bản rõ), địa chỉ nhận hàng đã lưu, lịch sử đơn hàng;
• Thông tin giao dịch thanh toán trực tuyến (khi website tích hợp cổng thanh toán): mã giao dịch, phương thức, thời gian, số tiền và trạng thái giao dịch do cổng thanh toán trả về. Website không tiếp nhận hay lưu trữ số thẻ đầy đủ, mã CVV/CVC, ngày hết hạn thẻ, mật khẩu ngân hàng hay mã OTP;
• Dữ liệu kỹ thuật phát sinh khi truy cập website: địa chỉ IP, loại trình duyệt, thiết bị, thời điểm truy cập, trang đã xem và cookie – dùng để bảo đảm an toàn hệ thống, chống gian lận và thống kê lượt truy cập ở dạng tổng hợp.

Chúng tôi không thu thập dữ liệu sinh trắc học, không chủ đích thu thập thông tin của người dưới 16 tuổi và không yêu cầu khách hàng cung cấp thông tin ngoài phạm vi cần thiết cho giao dịch. Việc thu thập, xử lý dữ liệu cá nhân chỉ được thực hiện khi có sự đồng ý của khách hàng (thể hiện qua việc chủ động cung cấp thông tin, đánh dấu đồng ý khi đăng ký tài khoản hoặc đặt hàng), trừ trường hợp pháp luật có quy định khác.

Cookie và công nghệ tương tự: website sử dụng cookie cần thiết (duy trì phiên đăng nhập, giỏ hàng, lựa chọn ngôn ngữ) và cookie thống kê ẩn danh. Khách hàng có thể xóa hoặc chặn cookie trong cài đặt trình duyệt; việc chặn cookie cần thiết có thể làm một số chức năng (đăng nhập, giỏ hàng) không hoạt động. Chúng tôi không dùng cookie để bán hoặc chia sẻ dữ liệu cho bên thứ ba phục vụ quảng cáo.

3. Phạm vi sử dụng thông tin

• Tạo và quản lý tài khoản người dùng, xác thực đăng nhập, lưu địa chỉ và lịch sử đơn hàng để khách hàng đặt hàng thuận tiện hơn;
• Tư vấn, xác nhận đơn hàng, đặt lịch, giao hàng và chăm sóc sau bán;
• Xử lý và đối soát giao dịch thanh toán trực tuyến với đối tác cổng thanh toán; phát hiện, ngăn chặn giao dịch gian lận;
• Xử lý yêu cầu đổi trả, bảo hành, khiếu nại; xuất hóa đơn theo yêu cầu;
• Ngăn ngừa hành vi giả mạo, gian lận, lạm dụng chính sách;
• Thông báo chương trình khuyến mại – chỉ gửi khi khách hàng đồng ý và luôn kèm cách từ chối nhận;
• Cung cấp cho cơ quan nhà nước có thẩm quyền khi có yêu cầu theo quy định của pháp luật.

Chúng tôi không sử dụng thông tin cá nhân của khách hàng ngoài các mục đích nêu trên.

4. Thời gian lưu trữ thông tin

• Thông tin đơn hàng, lịch hẹn và thông tin liên hệ: lưu trong suốt thời gian khách hàng còn sử dụng sản phẩm, dịch vụ và tối đa 24 tháng kể từ giao dịch gần nhất, hoặc cho đến khi khách hàng yêu cầu xóa;
• Dữ liệu tài khoản người dùng: lưu cho đến khi khách hàng tự xóa tài khoản hoặc yêu cầu xóa; tài khoản không hoạt động liên tục 24 tháng được thông báo trước 30 ngày rồi xóa;
• Dữ liệu giao dịch thanh toán, chứng từ kế toán, hóa đơn: lưu theo thời hạn pháp luật về kế toán, thuế và thanh toán quy định;
• Dữ liệu kỹ thuật, nhật ký truy cập: tối đa 12 tháng.

Hết thời hạn lưu trữ, dữ liệu được xóa an toàn hoặc ẩn danh hóa để không còn định danh được cá nhân.

5. Những người hoặc tổ chức có thể tiếp cận thông tin

• CÔNG TY TNHH MTV THẨM MỸ CAO YẾN – bộ phận tư vấn, bán hàng, chăm sóc khách hàng và kỹ thuật viên trực tiếp thực hiện đơn hàng, dịch vụ (theo nguyên tắc chỉ được truy cập phần dữ liệu cần cho công việc);
• Đơn vị vận chuyển – chỉ tiếp cận thông tin giao hàng gồm họ tên, số điện thoại, địa chỉ nhận hàng và giá trị thu hộ (nếu có);
• Tổ chức cung ứng dịch vụ trung gian thanh toán và ngân hàng – khi khách hàng chọn thanh toán trực tuyến, chỉ tiếp cận dữ liệu cần thiết để xử lý, đối soát giao dịch theo pháp luật về thanh toán;
• Nhà cung cấp hạ tầng lưu trữ website (Cloudflare) – hoạt động theo hợp đồng xử lý dữ liệu, chỉ được xử lý dữ liệu theo chỉ dẫn của công ty và không được dùng cho mục đích riêng;
• Cơ quan nhà nước có thẩm quyền khi có yêu cầu bằng văn bản theo quy định của pháp luật.

Chúng tôi không mua bán, trao đổi, chuyển giao thông tin cá nhân của khách hàng cho bất kỳ bên thứ ba nào khác khi chưa có sự đồng ý của khách hàng.

6. Biện pháp bảo mật thông tin, dữ liệu của người sử dụng

6.1. Biện pháp kỹ thuật, công nghệ

• Toàn bộ website chạy trên giao thức mã hóa HTTPS (TLS 1.2 trở lên); chứng chỉ bảo mật được gia hạn tự động; bật HSTS để trình duyệt luôn kết nối mã hóa.
• Website được lưu trữ trên hạ tầng Cloudflare có tường lửa ứng dụng web (WAF), chống tấn công từ chối dịch vụ (DDoS) và lọc truy cập bất thường.
• Thanh toán trực tuyến: toàn bộ thao tác nhập thông tin thẻ, ví điện tử được thực hiện trên trang thanh toán bảo mật của tổ chức trung gian thanh toán được Ngân hàng Nhà nước Việt Nam cấp phép và đạt chứng nhận bảo mật PCI DSS. Website chỉ nhận về kết quả giao dịch (mã giao dịch, trạng thái, số tiền) qua kết nối mã hóa có chữ ký xác thực; không lưu số thẻ đầy đủ, CVV/CVC, mật khẩu ngân hàng hay OTP dưới bất kỳ hình thức nào.
• Tài khoản người dùng: mật khẩu được băm một chiều có muối (bcrypt hoặc Argon2); giới hạn số lần đăng nhập sai và tạm khóa khi có dấu hiệu dò mật khẩu; xác thực bổ sung bằng mã OTP qua SMS/email đối với thao tác nhạy cảm (đổi mật khẩu, đổi số điện thoại, xóa tài khoản); phiên đăng nhập tự hết hạn sau thời gian không hoạt động.
• Lưu trữ và truyền dữ liệu: dữ liệu cá nhân được mã hóa khi lưu trữ và khi truyền; cơ sở dữ liệu không mở truy cập trực tiếp từ Internet, chỉ truy cập qua tài khoản được phân quyền của hệ thống nội bộ; mọi truy cập, thao tác trên dữ liệu khách hàng đều được ghi nhật ký và lưu tối thiểu 12 tháng.
• Thông tin đơn hàng, khách hàng được quản lý trên phần mềm bán hàng và tài khoản Zalo theo số hotline của công ty; các tài khoản quản trị (hosting, tên miền, phần mềm bán hàng, cổng thanh toán, Zalo) đều đặt mật khẩu mạnh, bật xác thực hai lớp (2FA) và phân quyền theo vai trò.
• Hệ thống được rà soát lỗ hổng bảo mật định kỳ tối thiểu 06 tháng một lần và ngay sau mỗi lần nâng cấp lớn (bổ sung cổng thanh toán, tài khoản người dùng); bản vá bảo mật được cập nhật kịp thời.
• Dữ liệu được sao lưu định kỳ hằng tuần; bản sao lưu được mã hóa và lưu tách biệt với hệ thống đang vận hành.
• Máy tính, điện thoại dùng cho công việc được cài phần mềm diệt vi-rút, cập nhật bản vá bảo mật và khóa màn hình khi không sử dụng.

6.2. Biện pháp quy trình, con người

• Chỉ nhân sự được phân công (tư vấn, xử lý đơn, giao hàng, chăm sóc khách hàng) mới được truy cập dữ liệu khách hàng ở phạm vi cần thiết cho công việc; thu hồi quyền ngay khi nhân sự thay đổi vị trí hoặc nghỉ việc.
• Nhân viên ký cam kết bảo mật thông tin khách hàng và được phổ biến quy định bảo vệ dữ liệu cá nhân khi nhận việc.
• Hợp đồng với đơn vị vận chuyển và nhà cung cấp dịch vụ kỹ thuật có điều khoản bảo mật, chỉ được dùng dữ liệu cho đúng mục đích giao hàng, vận hành.
• Rà soát quyền truy cập và nhật ký sử dụng hệ thống định kỳ hằng quý.

6.3. Xử lý sự cố lộ, mất dữ liệu

Khi phát hiện hoặc nghi ngờ có sự cố rò rỉ, mất mát dữ liệu cá nhân, chúng tôi lập tức khoanh vùng, ngăn chặn; thông báo cho cơ quan có thẩm quyền về bảo vệ dữ liệu cá nhân trong thời hạn pháp luật quy định; thông báo cho khách hàng bị ảnh hưởng về nội dung sự cố, hậu quả có thể xảy ra và biện pháp khắc phục; lưu hồ sơ sự cố để phục vụ kiểm tra.

7. Địa chỉ đơn vị thu thập, quản lý thông tin và phương tiện để khách hàng tiếp cận, chỉnh sửa dữ liệu

• CÔNG TY TNHH MTV THẨM MỸ CAO YẾN – Mã số thuế: 2803128353
• Trụ sở chính: 151 Nguyễn Du, Tổ dân phố Hoan Kính, Phường Sầm Sơn, Tỉnh Thanh Hóa
• Địa điểm kinh doanh miền Nam: 85-86-87 Bến Vân Đồn, Phường Khánh Hội, Thành phố Hồ Chí Minh
• Hotline / Zalo: 0923 418 888 (9:00 – 18:00, tất cả các ngày trong tuần (kể cả Thứ Bảy, Chủ Nhật))

Khách hàng có quyền tự kiểm tra, cập nhật, chỉnh sửa thông tin cá nhân của mình bằng các phương tiện sau:

• Trực tiếp trên website (khi có tài khoản người dùng): đăng nhập, vào mục "Tài khoản của tôi" để xem, chỉnh sửa thông tin cá nhân, địa chỉ nhận hàng, lịch sử đơn hàng, cài đặt nhận thông báo và xóa tài khoản;
• Liên hệ Hotline / Zalo 0923 418 888 hoặc trực tiếp tại các cơ sở nêu trên. Chúng tôi xác nhận tiếp nhận trong vòng 24 giờ làm việc và hoàn tất chỉnh sửa trong vòng 03 ngày làm việc.

8. Phương thức, quy trình tiếp nhận yêu cầu xóa, hủy hoặc hạn chế xử lý dữ liệu

Kênh tiếp nhận yêu cầu:

• Trực tiếp trên website (khi có tài khoản người dùng): chức năng "Xóa tài khoản" hoặc "Yêu cầu xóa dữ liệu" trong mục "Tài khoản của tôi"; hệ thống xác nhận qua OTP và ghi nhận yêu cầu tự động;
• Gọi điện hoặc nhắn tin Zalo tới số 0923 418 888;
• Trực tiếp tại trụ sở chính hoặc địa điểm kinh doanh miền Nam;
• Gửi văn bản (thư bảo đảm) về trụ sở chính: 151 Nguyễn Du, Tổ dân phố Hoan Kính, Phường Sầm Sơn, Tỉnh Thanh Hóa.

Quy trình xử lý:

1. Tiếp nhận: khách hàng nêu rõ yêu cầu (xóa toàn bộ, xóa một phần, hạn chế xử lý, rút lại sự đồng ý nhận thông tin khuyến mại) kèm họ tên và số điện thoại đã dùng khi giao dịch. Chúng tôi phản hồi xác nhận đã tiếp nhận trong vòng 24 giờ làm việc.
2. Xác minh: đối chiếu số điện thoại/Zalo gửi yêu cầu với thông tin đã giao dịch; trường hợp cần thiết gọi lại số điện thoại đã đăng ký để xác nhận chính chủ, nhằm tránh xóa nhầm dữ liệu theo yêu cầu của người không có thẩm quyền.
3. Thực hiện: xóa, hủy hoặc hạn chế xử lý dữ liệu trên phần mềm bán hàng, Zalo và các bản sao lưu đang hoạt động; đồng thời yêu cầu đơn vị vận chuyển, nhà cung cấp dịch vụ có liên quan xóa dữ liệu tương ứng. Thời hạn hoàn tất: tối đa 72 giờ kể từ khi nhận được yêu cầu hợp lệ.
4. Thông báo kết quả: nhắn tin hoặc gọi điện xác nhận với khách hàng việc đã hoàn tất.

Trường hợp không thể xóa ngay: dữ liệu gắn với đơn hàng, hóa đơn, chứng từ kế toán mà pháp luật yêu cầu lưu trữ; dữ liệu liên quan đến khiếu nại, tranh chấp đang giải quyết. Khi đó chúng tôi thông báo rõ lý do, hạn chế xử lý dữ liệu ở mức chỉ lưu trữ và xóa ngay khi hết thời hạn luật định.

9. Phương thức, quy trình tiếp nhận và giải quyết khiếu nại, yêu cầu, phản ánh liên quan đến bảo mật thông tin

Kênh tiếp nhận: Hotline / Zalo 0923 418 888; trực tiếp tại các cơ sở; văn bản gửi về trụ sở chính. Người phụ trách bảo vệ dữ liệu cá nhân của công ty: Bà Cao Thị Yến – Giám đốc.

Quy trình giải quyết:

1. Tiếp nhận và xác nhận trong vòng 24 giờ làm việc; cấp mã theo dõi cho từng vụ việc.
2. Xác minh: kiểm tra nhật ký truy cập, phạm vi dữ liệu liên quan, các bên đã được cung cấp dữ liệu; liên hệ khách hàng để làm rõ nếu cần.
3. Khắc phục và trả lời: trong vòng 07 ngày làm việc kể từ khi tiếp nhận đầy đủ thông tin, chúng tôi thông báo kết quả xác minh, biện pháp khắc phục (chỉnh sửa, xóa dữ liệu, chấm dứt việc chia sẻ, xin lỗi, bồi thường thiệt hại nếu có lỗi của công ty). Vụ việc phức tạp được gia hạn tối đa 15 ngày làm việc và thông báo tiến độ cho khách hàng.
4. Kết thúc: xác nhận lại với khách hàng và lưu hồ sơ vụ việc tối thiểu 02 năm.

Nếu không đồng ý với kết quả giải quyết, khách hàng có quyền khiếu nại tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an), Cục Thương mại điện tử và Kinh tế số – Bộ Công Thương hoặc khởi kiện tại Tòa án có thẩm quyền theo quy định pháp luật.

10. Nền tảng của bên thứ ba và giới hạn trách nhiệm

• Khi khách hàng liên hệ, tương tác qua Zalo, Facebook hoặc thanh toán qua cổng thanh toán, ngân hàng, các nền tảng này thu thập và xử lý dữ liệu theo chính sách riêng của họ (bao gồm cookie, dữ liệu thiết bị và hành vi sử dụng). CÔNG TY TNHH MTV THẨM MỸ CAO YẾN không kiểm soát và không chịu trách nhiệm về việc xử lý dữ liệu của các nền tảng đó; khách hàng nên đọc chính sách bảo mật của từng nền tảng trước khi sử dụng.
• Công ty áp dụng các biện pháp bảo mật nêu tại mục 6 (mã băm mật khẩu, mã hóa dữ liệu khi lưu trữ và truyền, phân quyền, ghi nhật ký, đối tác thanh toán đạt chuẩn PCI DSS) ở mức phù hợp với thông lệ ngành. Tuy nhiên, không có phương thức truyền hoặc lưu trữ dữ liệu nào trên Internet an toàn tuyệt đối; công ty không chịu trách nhiệm đối với thiệt hại phát sinh từ: khách hàng tự để lộ mật khẩu, mã OTP, thông tin tài khoản; thiết bị của khách hàng bị nhiễm mã độc hoặc bị chiếm quyền; khách hàng cung cấp thông tin sai, sử dụng phương tiện thanh toán không thuộc sở hữu của mình; hoặc hành vi tấn công trái pháp luật của bên thứ ba mà công ty đã áp dụng đầy đủ biện pháp bảo vệ theo quy định – trừ trường hợp thiệt hại do lỗi của công ty.
• Khách hàng có trách nhiệm bảo mật thông tin đăng nhập, đăng xuất sau khi sử dụng trên thiết bị dùng chung và thông báo ngay cho công ty khi phát hiện truy cập bất thường để được hỗ trợ khóa tài khoản.

11. Cam kết tuân thủ

Chính sách này được xây dựng và thực hiện theo Luật Bảo vệ dữ liệu cá nhân, Luật Thương mại điện tử, pháp luật về thanh toán không dùng tiền mặt và các văn bản hướng dẫn. Công ty lập, lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi cơ quan có thẩm quyền theo quy định; trường hợp có chuyển dữ liệu cá nhân ra nước ngoài (ví dụ máy chủ lưu trữ đặt ngoài Việt Nam), việc chuyển được thực hiện theo quy định về đánh giá tác động chuyển dữ liệu ra nước ngoài.

Khi website bổ sung chức năng mới có thu thập dữ liệu (tài khoản người dùng, thanh toán trực tuyến, chương trình thành viên), chúng tôi cập nhật chính sách này trước khi kích hoạt chức năng, thông báo trên website và xin lại sự đồng ý của khách hàng đối với mục đích xử lý mới. Khi pháp luật có thay đổi, chính sách được cập nhật và công bố công khai trên website.