Chính sách bảo mật dữ liệu cá nhân

1. Ai chịu trách nhiệm về dữ liệu của bạn

Website cvm.vn do Lưu Văn Cương vận hành dưới thương hiệu CVM (Thiết Kế Website CVM), kinh doanh dịch vụ với tư cách cá nhân. CVM tự quyết định mục đích, cách thức và trực tiếp xử lý dữ liệu cá nhân bạn gửi qua website, nên là bên kiểm soát và xử lý dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.

• Địa chỉ: 39 TCH 26, Phường Trung Mỹ Tây, TP. Hồ Chí Minh
• Điện thoại: 092.4444441 · Zalo: 0978.06.06.92 (mở trong tab mới)
• Email: thietkewebcvm@gmail.com
• Người phụ trách bảo vệ dữ liệu cá nhân: Lưu Văn Cương

Chính sách này áp dụng cho dữ liệu cá nhân thu thập qua website cvm.vn. Dữ liệu CVM tiếp xúc khi làm dịch vụ cho khách hàng (ví dụ trong tài khoản Google Ads hay website của khách) được nêu ở mục 13.

2. CVM thu thập dữ liệu gì

CVM chỉ thu thập những gì bạn tự điền vào phiếu tư vấn, báo giá hoặc phiếu chọn mẫu, cùng một số dữ liệu kỹ thuật tối thiểu để website chạy an toàn:

Dữ liệu	Khi nào	Dùng để	Lưu bao lâu
Họ tên, số điện thoại (bắt buộc)	Khi bạn gửi phiếu	Gọi, nhắn lại để tư vấn và báo giá	Tối đa 24 tháng kể từ ngày nhận phiếu hoặc lần CVM cập nhật phiếu gần nhất, nếu bạn không trở thành khách hàng; có hợp đồng thì theo mục 7
Email, địa chỉ website hoặc fanpage, dịch vụ, mẫu hoặc gói bạn chọn, lời nhắn (không bắt buộc)	Khi bạn điền hoặc chọn các ô này	Hiểu đúng nhu cầu, xem website, fanpage bạn nêu, gửi báo giá	Như họ tên, số điện thoại
Bằng chứng đồng ý: thời điểm, phiên bản chính sách, câu đồng ý, trang gửi	Khi bạn tick ô đồng ý và gửi phiếu	Chứng minh bạn đã đồng ý, theo Nghị định 356/2025/NĐ-CP Điều 6	Bằng thời gian lưu phiếu đi kèm
Mã băm của địa chỉ IP (không lưu địa chỉ IP gốc)	Khi bạn gửi phiếu	Chặn một máy gửi phiếu liên tục (chống spam)	Chỉ dùng trong 30 giây; bản ghi tạm tự xoá trong khoảng 24 giờ; không ghi vào phiếu
Đường dẫn bị lỗi, số lần mở và thời điểm mở gần nhất (không kèm địa chỉ IP, trang dẫn tới hay thông tin trình duyệt)	Khi có người mở một đường dẫn không tồn tại	Tìm và sửa liên kết hỏng	Tối đa 100 đường dẫn; khi đủ 100, toàn bộ nhật ký tự xoá và ghi lại từ đầu
Nhật ký truy cập máy chủ (IP, thời điểm, trình duyệt, trang đã xem)	Mỗi lần trang được tải	Vận hành và bảo vệ website	Tối đa 30 ngày theo chu kỳ xoay vòng nhật ký của hosting, quá hạn tự xoá; CVM không dùng để nhận diện bạn

Phiếu trên website không hỏi mật khẩu, số căn cước, thông tin thẻ hay tài khoản ngân hàng. Bạn đừng ghi các thông tin này, hoặc thông tin về sức khoẻ, tài chính, đời tư, vào ô lời nhắn. Khi làm dịch vụ: với Google Ads và fanpage, CVM làm việc bằng quyền được mời, không cần mật khẩu; với website và hosting (xử lý mã độc, tối ưu tốc độ), CVM đề nghị bạn tạo tài khoản riêng cho CVM — thông tin đăng nhập chỉ dùng cho công việc đó, không lưu trên website cvm.vn, và bạn nên xoá tài khoản đó hoặc đổi mật khẩu khi CVM làm xong.

3. Mục đích và căn cứ xử lý

• Liên hệ tư vấn, báo giá theo yêu cầu của bạn — căn cứ: sự đồng ý của bạn, thể hiện bằng ô đồng ý không tick sẵn trên phiếu (Luật 91/2025/QH15, Điều 9 và Điều 11).
• Thực hiện hợp đồng dịch vụ nếu bạn trở thành khách hàng — căn cứ: thực hiện thoả thuận giữa bạn và CVM (Điều 19 khoản 1 điểm d).
• Vận hành và bảo vệ website (chặn gửi phiếu tự động, chống tấn công, dò quét) — căn cứ: bảo vệ quyền, lợi ích chính đáng của CVM một cách cần thiết trước hành vi xâm phạm (Điều 19 khoản 1 điểm a); dùng mã băm địa chỉ IP khi gửi phiếu và nhật ký máy chủ, trong thời hạn nêu ở mục 2; không dùng để nhận diện bạn.
• Thực hiện nghĩa vụ pháp luật, ví dụ lưu chứng từ theo pháp luật về thuế, trả lời yêu cầu hợp pháp của cơ quan có thẩm quyền (Điều 19 khoản 1 điểm c và điểm đ).

CVM không bán, không cho thuê dữ liệu cá nhân, và không dùng dữ liệu của bạn để gửi quảng cáo, tiếp thị hay chạy quảng cáo nhắm lại. Nếu sau này muốn làm việc đó, CVM sẽ xin đồng ý riêng; bạn từ chối vẫn được tư vấn bình thường.

4. Ai có thể tiếp cận dữ liệu

• CVM — chỉ tài khoản quản trị của CVM xem được phiếu bạn gửi.
• Nhà cung cấp hosting — lưu mã nguồn và cơ sở dữ liệu website, trong đó có các phiếu bạn gửi.
• Zalo (Công ty Cổ phần VNG) — CVM nhận tin báo có phiếu mới qua Zalo Bot, nên nội dung phiếu (họ tên, số điện thoại và các thông tin bạn điền) được gửi qua và lưu trên hệ thống Zalo để CVM đọc trên Zalo. Website không gửi phiếu qua email.
• Google (gstatic.com, YouTube) và DMCA.com — khi trang tải huy hiệu Google Partner, huy hiệu DMCA hoặc ảnh đại diện video YouTube trong bài viết, trình duyệt của bạn gửi tới máy chủ của họ địa chỉ IP, thông tin trình duyệt và địa chỉ website. Video chỉ tải khi bạn bấm phát; khi đó video chạy từ máy chủ youtube-nocookie.com của Google, và Google có thể lưu cookie hoặc dữ liệu trên trình duyệt của bạn theo chính sách của Google. CVM không gửi nội dung phiếu cho các bên này. Xem chính sách của DMCA.com (mở trong tab mới).
• Web demo của giaodienwebmau.com và web của khách hàng CVM — trang xem demo (/xem-demo/…) và khung “Lướt thử” trong trang mẫu giao diện nhúng bản chạy thật của web mẫu. Phần lớn web mẫu do giaodienwebmau.com cung cấp, một số là web thật CVM đã làm cho khách hàng. Trang xem demo tải web đó ngay khi bạn mở; khung “Lướt thử” chỉ tải khi bạn bấm “Lướt thử ngay”. Khi đó trình duyệt của bạn kết nối thẳng tới máy chủ của web đó (gửi địa chỉ IP, thông tin trình duyệt), và web đó có thể tự đặt cookie hoặc lưu dữ liệu trên trình duyệt của bạn theo chính sách riêng của họ. CVM không gửi nội dung phiếu cho các bên này và không kiểm soát cách họ xử lý dữ liệu.
• Google (Google Analytics 4, Google Ads) và Meta Platforms (Meta Pixel) — website dùng Google Tag Manager để chạy các công cụ đo lường và quảng cáo này. Khi các công cụ này đang bật (mặc định bật; bạn tắt được ở “Cài đặt cookie”), chúng ghi nhận trang bạn xem, thao tác trên trang, địa chỉ IP, thông tin trình duyệt và thiết bị, và đặt cookie để đo hiệu quả quảng cáo, tiếp thị lại. Loại nào bạn đã tắt thì công cụ đó không đặt cookie; riêng công cụ của Google chỉ còn gửi tín hiệu không dùng cookie (chế độ đồng ý của Google). CVM không gửi nội dung phiếu cho các bên này. Xem Chính sách quyền riêng tư của Google (mở trong tab mới) và Chính sách quyền riêng tư của Meta (mở trong tab mới).
• Zalo, Facebook — chỉ khi bạn bấm liên kết sang các nền tảng này; khi đó chính sách của họ áp dụng.
• Cơ quan nhà nước có thẩm quyền — khi có yêu cầu theo quy định của pháp luật.

5. Chuyển dữ liệu cá nhân xuyên biên giới

CVM không chuyển nội dung phiếu bạn gửi cho bên nhận ở nước ngoài. Phiếu được lưu trên máy chủ website đặt tại Việt Nam và báo cho CVM qua Zalo Bot của Công ty Cổ phần VNG; website không gửi phiếu qua email.

Riêng các trường hợp dưới đây, trình duyệt của bạn kết nối thẳng tới máy chủ của Google, Meta và DMCA.com (đặt ở nước ngoài, chủ yếu tại Hoa Kỳ): khi trang tải huy hiệu Google Partner, huy hiệu DMCA, ảnh đại diện video YouTube, và khi công cụ đo lường, quảng cáo chạy qua Google Tag Manager (mục 4, mục 6). Đây là chuyển dữ liệu cá nhân xuyên biên giới:

• Bên nhận: Google LLC (gstatic.com, YouTube, Google Analytics, Google Ads), Meta Platforms, Inc. (Meta Pixel), DMCA.com.
• Mục đích: hiển thị huy hiệu và nội dung video; đo lượt xem và hiệu quả quảng cáo, tiếp thị lại (trừ khi bạn tắt ở “Cài đặt cookie”).
• Phạm vi: địa chỉ IP, thông tin trình duyệt và thiết bị, địa chỉ trang đang xem, thao tác trên trang (khi công cụ đo lường, quảng cáo đang bật), và dữ liệu xem video nếu bạn bấm phát. Không có nội dung phiếu.

6. Cookie và công cụ đo lường

Website cvm.vn tự nó không đặt cookie khi bạn xem trang và gửi phiếu; mã chống gửi phiếu giả nằm sẵn trong trang, không lưu bằng cookie. Website có dùng Google Tag Manager để chạy công cụ đo lường và quảng cáo của bên khác:

• Google Analytics 4 — đếm lượt xem, trang được xem, nguồn truy cập để CVM cải thiện website.
• Google Ads (đo chuyển đổi, tiếp thị lại) — biết quảng cáo nào mang khách tới và hiện lại quảng cáo CVM cho người đã ghé website.
• Meta Pixel — đo hiệu quả và tiếp thị lại quảng cáo trên Facebook, Instagram.

Các công cụ này được bật sẵn và hoạt động khi bạn xem website. Website thông báo việc dùng cookie ở chân trang mỗi trang và trong chính sách này; bạn tiếp tục sử dụng website tức là đồng ý cho các công cụ này hoạt động. Bạn có thể tắt riêng từng loại (đo lượt xem — Google Analytics; quảng cáo phù hợp — Google Ads, Meta) hoặc tắt tất cả bất cứ lúc nào bằng nút “Cài đặt cookie” ở chân trang; tắt rồi vẫn dùng website bình thường, và lựa chọn của bạn có hiệu lực ngay. Thời gian lưu cookie theo chính sách của Google và Meta (thường từ vài tháng tới 2 năm).

Cookie kỹ thuật của WordPress (kiểm tra trình duyệt có nhận cookie không, giữ phiên đăng nhập) chỉ được đặt khi mở trang đăng nhập quản trị, và chỉ dùng cho người quản trị website. Cookie của bên khác có thể có khi bạn bấm phát video YouTube hoặc mở bản demo của web mẫu — xem mục 4.

Bộ nhớ trình duyệt (localStorage): website ghi lựa chọn bật / tắt cookie của bạn (mục “cvm-cookie”) để không hỏi lại. Trên trang xem demo, khi bạn bấm chọn khung máy tính, máy tính bảng hay điện thoại, website ghi nhớ lựa chọn đó ngay trên trình duyệt của bạn để lần sau mở lại đúng khung. Mục này chỉ chứa tên khung bạn đã chọn, không gửi về CVM và không dùng để nhận diện bạn. Bạn xoá được bằng cách xoá dữ liệu trang web trong cài đặt trình duyệt.

Bạn luôn có thể xem, xoá hoặc chặn cookie và dữ liệu trang web trong phần cài đặt của trình duyệt.

7. Thời gian lưu trữ và xoá dữ liệu

• Phiếu của người chưa trở thành khách hàng: lưu tối đa 24 tháng kể từ ngày nhận phiếu hoặc lần CVM cập nhật phiếu gần nhất; CVM rà soát và xoá phiếu, email báo phiếu quá hạn mỗi tháng.
• Khách hàng có hợp đồng: lưu trong thời hạn hợp đồng; hồ sơ, chứng từ liên quan lưu thêm theo thời hạn pháp luật về thuế, kế toán yêu cầu.
• Bằng chứng đồng ý: lưu cùng thời gian với phiếu đi kèm; nếu bạn rút lại đồng ý, CVM giữ bằng chứng việc rút lại trong 12 tháng kể từ ngày rút.
• Dữ liệu kỹ thuật: theo thời hạn ở bảng mục 2.

Hết thời hạn, hoặc khi bạn yêu cầu xoá, CVM xoá vĩnh viễn phiếu trong quản trị website (không để lại trong thùng rác) và tin báo phiếu tương ứng trên Zalo, trừ phần pháp luật buộc phải giữ. Nếu có phần không xoá được vì lý do chính đáng, CVM sẽ báo cho bạn.

8. Cách CVM bảo vệ dữ liệu

• Phiếu được lưu thành bản ghi riêng tư trong quản trị website: không hiện công khai, không có đường dẫn để truy cập từ ngoài.
• Chỉ tài khoản quản trị của CVM xem được phiếu; website dùng kết nối mã hoá HTTPS.
• Form có mã chống giả mạo yêu cầu, ô bẫy chặn máy tự động và giới hạn gửi liên tục.
• Website chạy WordPress cập nhật, giao diện tự viết và chỉ một plugin, để giảm lỗ hổng từ phần mềm bên thứ ba.
• CVM làm việc trong tài khoản của khách bằng quyền được mời hoặc tài khoản riêng bạn cấp cho CVM; bạn gỡ quyền hoặc đổi mật khẩu được bất cứ lúc nào.

Không hệ thống nào an toàn tuyệt đối. Nếu xảy ra sự cố, CVM làm theo mục 11.

9. Quyền của bạn và thời hạn CVM xử lý

Theo Điều 4 Luật Bảo vệ dữ liệu cá nhân và Điều 20 Luật Bảo vệ quyền lợi người tiêu dùng, bạn có quyền:

• được biết CVM xử lý dữ liệu của bạn như thế nào;
• đồng ý hoặc không đồng ý, và rút lại sự đồng ý bất cứ lúc nào;
• xem, chỉnh sửa hoặc yêu cầu chỉnh sửa, cập nhật dữ liệu của mình;
• yêu cầu cung cấp, xoá, hạn chế xử lý dữ liệu; phản đối việc xử lý; yêu cầu chuyển giao hoặc ngừng chuyển giao dữ liệu của mình cho bên thứ ba;
• khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật;
• yêu cầu cơ quan có thẩm quyền hoặc bên liên quan áp dụng biện pháp bảo vệ dữ liệu của mình.

Thời hạn CVM xử lý yêu cầu, theo Điều 5 Nghị định 356/2025/NĐ-CP (riêng khiếu nại, phản ánh là thời hạn CVM tự cam kết):

Loại yêu cầu	Thời hạn
Mọi yêu cầu	Xác nhận đã nhận và hướng dẫn thủ tục trong 02 ngày làm việc
Xem, chỉnh sửa, cung cấp dữ liệu	Trong 10 ngày
Rút lại đồng ý, hạn chế xử lý, phản đối xử lý	Trong 15 ngày
Xoá dữ liệu	Trong 20 ngày
Yêu cầu áp dụng biện pháp bảo vệ dữ liệu của bạn	Trong 15 ngày
Khiếu nại, phản ánh về việc CVM xử lý dữ liệu (dùng sai mục đích, nghi bị lộ)	Phản hồi trong 02 ngày làm việc; giải quyết và báo kết quả trong 15 ngày

Khi cần thêm thời gian, CVM gia hạn một lần, tối đa bằng thời hạn ban đầu, và báo lý do cho bạn. Việc rút lại đồng ý không ảnh hưởng tới việc xử lý đã làm trước đó. Nếu bạn đang có hợp đồng với CVM, một số dữ liệu vẫn cần giữ để thực hiện hợp đồng. CVM không thu phí khi bạn thực hiện các quyền này.

Về phần mình (Điều 4 khoản 2 Luật Bảo vệ dữ liệu cá nhân), bạn cần tự bảo vệ dữ liệu cá nhân của mình; tôn trọng, bảo vệ dữ liệu của người khác; cung cấp thông tin đầy đủ, chính xác và chỉ gửi thông tin của chính mình hoặc thông tin bạn được phép cung cấp; chấp hành pháp luật về bảo vệ dữ liệu cá nhân.

10. Cách gửi yêu cầu và khiếu nại

• Gửi yêu cầu bằng văn bản qua email thietkewebcvm@gmail.com, tin nhắn Zalo 0978.06.06.92 hoặc thư tới địa chỉ ở mục 1. Mẫu yêu cầu: họ tên – số điện thoại đã dùng khi gửi phiếu – loại yêu cầu (xem, sửa, xoá, rút đồng ý, hạn chế, phản đối, khiếu nại) – nội dung – kênh bạn muốn nhận kết quả.
• CVM xác nhận đã nhận trong 02 ngày làm việc, kèm mã yêu cầu, và lưu hồ sơ xử lý từng yêu cầu. Để tránh người khác giả danh bạn, CVM có thể gọi lại số điện thoại bạn đã để lại để xác minh.
• CVM xử lý trong thời hạn ở mục 9 và báo kết quả bằng kênh bạn đã dùng. Yêu cầu liên quan tới việc dữ liệu có thể đã bị lộ được phản hồi trong 01 ngày làm việc và xử lý trước các yêu cầu khác.
• Nếu chưa hài lòng, bạn có thể phản ánh tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao), cơ quan bảo vệ quyền lợi người tiêu dùng, hoặc khởi kiện theo quy định của pháp luật.

11. Khi xảy ra sự cố lộ, mất dữ liệu

Khi phát hiện dữ liệu cá nhân bị lộ, mất hoặc bị truy cập trái phép, CVM sẽ khoanh vùng, khắc phục và lập biên bản; thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an) chậm nhất 72 giờ kể từ khi phát hiện, theo Điều 23 Luật Bảo vệ dữ liệu cá nhân; và báo cơ quan quản lý nhà nước có thẩm quyền trong 24 giờ nếu hệ thống bị tấn công gây nguy cơ lộ thông tin khách hàng, theo Điều 19 Luật Bảo vệ quyền lợi người tiêu dùng. CVM cũng liên hệ những người có thể bị ảnh hưởng để họ chủ động phòng tránh.

12. Dữ liệu của trẻ em

Dịch vụ của CVM dành cho doanh nghiệp, hộ kinh doanh và người từ đủ 18 tuổi. CVM không cố ý thu thập dữ liệu của trẻ em. Nếu bạn là cha, mẹ hoặc người giám hộ và biết trẻ đã gửi thông tin qua website, hãy liên hệ để CVM xoá.

13. Dữ liệu khi CVM làm dịch vụ cho bạn

Khi bạn cấp quyền vào tài khoản Google Ads, website hay hosting để CVM làm dịch vụ, CVM có thể tiếp xúc dữ liệu khách hàng của bạn. Việc này do hợp đồng dịch vụ giữa hai bên điều chỉnh: CVM chỉ xử lý trong phạm vi công việc bạn giao, không sao chép hay dùng cho mục đích khác, và bạn gỡ quyền truy cập của CVM được bất cứ lúc nào.

14. Liên kết tới website khác

Website có liên kết tới trang của bên khác (Google, Zalo, Facebook, văn bản pháp luật…) và nhúng bản demo của web mẫu (mục 4). Khi bạn rời cvm.vn hoặc dùng bản demo, chính sách bảo mật của trang đó áp dụng; CVM không kiểm soát cách họ xử lý dữ liệu.

15. Thay đổi chính sách

Khi thay đổi cách xử lý dữ liệu, CVM cập nhật trang này, ghi số phiên bản và ngày áp dụng ở đầu trang. Nếu thay đổi mục đích hoặc phạm vi sử dụng dữ liệu bạn đã gửi, CVM sẽ thông báo và xin đồng ý lại trước khi xử lý theo mục đích mới.

Phiên bản hiện tại: 1.3, áp dụng từ ngày 25/10/2026.

16. Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (mở trong tab mới), hiệu lực từ 01/01/2026.
• Nghị định 356/2025/NĐ-CP (mở trong tab mới) quy định chi tiết Luật Bảo vệ dữ liệu cá nhân (thay Nghị định 13/2023/NĐ-CP).
• Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15 (PDF) (mở trong tab mới), Điều 15 đến Điều 20.
• Luật Thương mại điện tử số 122/2025/QH15 (mở trong tab mới) và Nghị định 248/2026/NĐ-CP (mở trong tab mới) (nội dung tối thiểu của chính sách bảo mật).