CHÍNH SÁCH BẢO MẬT THÔNG TIN KHÁCH HÀNG
CÔNG TY CỔ PHẦN TẬP ĐOÀN GMS (sau đây gọi là "Công ty") căn cứ Luật Thương mại điện tử số 122/2025/QH15; Nghị định số 248/2026/NĐ-CP ngày 30/6/2026 của Chính phủ và các quy định pháp luật có liên quan để ban hành Chính sách bảo mật thông tin này (sau đây gọi là "Chính sách") áp dụng đối với toàn bộ thông tin cá nhân mà Công ty thu thập từ Khách hàng khi truy cập, đăng ký tài khoản, đặt hàng hoặc sử dụng các dịch vụ trên website https://medicroller.vn (sau đây gọi là "Website").
1. Mục đích thu thập và sử dụng thông tin
Công ty thu thập và sử dụng thông tin của Khách hàng cho các mục đích sau:
1.1 Tiếp nhận và xử lý đơn hàng: Xác nhận thông tin người mua, sản phẩm, số lượng, giá trị đơn hàng, phương thức thanh toán và các yêu cầu liên quan; thông báo tình trạng tiếp nhận, xác nhận, điều chỉnh hoặc hủy đơn hàng.
1.2 Giao hàng: Xác nhận tên, số điện thoại, địa chỉ người nhận; phối hợp với đơn vị vận chuyển để giao hàng, cập nhật tình trạng vận chuyển và xử lý các vấn đề phát sinh trong quá trình giao nhận.
1.3 Chăm sóc, hỗ trợ khách hàng sau bán hàng: Hướng dẫn sử dụng, bảo quản sản phẩm; tiếp nhận và xử lý yêu cầu bảo hành, đổi trả, hoàn tiền hoặc hỗ trợ khác theo chính sách của Công ty.
1.4 Liên hệ và giải quyết khiếu nại: Tiếp nhận phản ánh, xác minh nội dung giao dịch, liên hệ với Khách hàng và thông báo kết quả xử lý các yêu cầu, tranh chấp hoặc khiếu nại liên quan đến sản phẩm, dịch vụ.
1.5 Gửi thông tin quảng cáo, khuyến mãi khi Khách hàng đồng ý: Cung cấp thông tin về sản phẩm mới, chương trình ưu đãi, sự kiện và hoạt động chăm sóc khách hàng qua các kênh Khách hàng đã chấp thuận. Khách hàng có thể yêu cầu ngừng nhận các thông tin này.
1.6 Cải thiện sản phẩm, dịch vụ và Website: Tổng hợp ý kiến phản hồi, phân tích nhu cầu mua sắm và cách thức sử dụng Website; phát hiện lỗi, nâng cao chất lượng phục vụ, cải thiện giao diện, tính năng và trải nghiệm của Khách hàng.
1.7 Thực hiện nghĩa vụ theo quy định pháp luật: Lập hóa đơn, lưu trữ chứng từ giao dịch, thực hiện nghĩa vụ kế toán, thuế và cung cấp thông tin theo yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền.
2. Phạm vi thông tin thu thập
Tùy theo tính năng Khách hàng sử dụng và yêu cầu của từng giao dịch, Công ty có thể thu thập các thông tin sau:
2.1 Thông tin nhận diện và liên hệ: Họ và tên, số điện thoại, địa chỉ email của Khách hàng hoặc người nhận hàng do Khách hàng cung cấp.
2.2 Thông tin giao hàng và xuất hóa đơn: Địa chỉ nhận hàng, tên và số điện thoại người nhận, ghi chú giao hàng; tên cá nhân hoặc tổ chức, địa chỉ, mã số thuế và email nhận hóa đơn khi Khách hàng yêu cầu xuất hóa đơn.
2.3 Thông tin đơn hàng và lịch sử mua hàng: Mã đơn hàng, sản phẩm đã mua, số lượng, giá trị đơn hàng, ưu đãi đã sử dụng, thời điểm đặt hàng, phương thức thanh toán, tình trạng thanh toán, giao hàng, đổi trả, bảo hành và hoàn tiền.
2.4 Thông tin thanh toán cần thiết: Mã giao dịch, số tiền, thời điểm và trạng thái thanh toán; tên chủ tài khoản, số tài khoản và ngân hàng trong trường hợp cần đối soát hoặc hoàn tiền. Đối với thanh toán qua bên cung cấp dịch vụ thanh toán, phạm vi thông tin Công ty tiếp nhận phụ thuộc vào phương thức thanh toán và việc tích hợp thực tế.
2.5 Thông tin trao đổi và hỗ trợ: Nội dung yêu cầu tư vấn, phản hồi, khiếu nại; hình ảnh, tài liệu hoặc thông tin liên quan do Khách hàng chủ động cung cấp để phục vụ việc xác minh và giải quyết yêu cầu.
2.6 Thông tin kỹ thuật và hoạt động trên Website: Địa chỉ IP, loại trình duyệt, loại thiết bị, hệ điều hành, thời điểm truy cập, các trang đã xem và thao tác trên Website; dữ liệu cookie hoặc công nghệ tương tự được sử dụng để duy trì phiên truy cập, ghi nhớ lựa chọn, hỗ trợ giỏ hàng, thống kê truy cập và cải thiện Website.
2.7 Thông tin về lựa chọn của Khách hàng: Việc đồng ý hoặc từ chối nhận thông tin quảng cáo, khuyến mãi; lựa chọn về cookie và các thay đổi đối với những lựa chọn này, tùy theo tính năng được triển khai trên Website.
3. Thời gian lưu trữ thông tin
3.1. Thông tin tài khoản: Được lưu trữ trong thời gian Khách hàng duy trì tài khoản trên Website. Khi Khách hàng yêu cầu xóa tài khoản, Công ty xử lý theo Mục 7 của Chính sách này.
3.2. Thông tin đơn hàng và giao dịch: Được lưu trữ tối đa 01 năm kể từ ngày đơn hàng hoàn tất để phục vụ việc chăm sóc khách hàng, đối chiếu thông tin và giải quyết các vấn đề liên quan đến giao dịch.
3.3. Thông tin khiếu nại, phản ánh: Được lưu trữ tối đa 01 năm kể từ ngày khiếu nại, phản ánh được giải quyết xong. Trường hợp vụ việc chưa được giải quyết xong hoặc phải lưu trữ theo yêu cầu của cơ quan nhà nước có thẩm quyền, Công ty tiếp tục lưu trữ trong thời gian cần thiết theo quy định pháp luật.
3.4. Thông tin phục vụ quảng cáo, khuyến mãi: Được lưu trữ trong thời gian Khách hàng đồng ý nhận thông tin. Khi Khách hàng rút lại sự đồng ý, Công ty ngừng sử dụng thông tin cho mục đích này theo Mục 7 của Chính sách.
3.5. Thông tin kỹ thuật và cookie: Được lưu trữ tối đa 06 tháng kể từ thời điểm thu thập, trừ trường hợp pháp luật có quy định khác.
3.6. Thông tin thuộc tài liệu kế toán: Được lưu trữ theo thời hạn pháp luật quy định đối với từng loại tài liệu. Riêng chứng từ kế toán sử dụng trực tiếp để ghi sổ kế toán và lập báo cáo tài chính được lưu trữ ít nhất 10 năm theo quy định.
Khi kết thúc mục đích xử lý hoặc hết thời hạn lưu trữ, Công ty thực hiện việc xóa, hủy hoặc khử nhận dạng dữ liệu theo quy định trừ trường hợp phải tiếp tục lưu trữ theo quy định pháp luật.
4. Tổ chức, cá nhân có thể tiếp cận thông tin cá nhân
Thông tin cá nhân của Khách hàng có thể được cung cấp hoặc cho phép tiếp cận bởi các tổ chức, cá nhân sau đây, trong phạm vi cần thiết để thực hiện công việc và phù hợp với quy định pháp luật:
4.1. Nhân viên và các bộ phận có liên quan của Công ty.
Nhân viên, bộ phận được Công ty phân quyền có thể tiếp cận thông tin để quản lý tài khoản, xử lý đơn hàng, tư vấn sản phẩm, chăm sóc khách hàng, thực hiện công tác kế toán và giải quyết khiếu nại, phản ánh.
Việc tiếp cận được giới hạn theo chức năng, nhiệm vụ và quyền hạn của từng cá nhân, bộ phận.
4.2. Đơn vị vận chuyển, giao nhận
Đơn vị vận chuyển, giao nhận có thể được cung cấp thông tin cần thiết để giao hàng, thu hộ tiền hàng hoặc xử lý các vấn đề phát sinh liên quan đến việc giao nhận, bao gồm họ tên, số điện thoại, địa chỉ nhận hàng và thông tin đơn hàng cần thiết.
4.3. Đơn vị cung cấp dịch vụ thanh toán
Ngân hàng, tổ chức trung gian thanh toán hoặc đơn vị cung cấp dịch vụ thanh toán có thể tiếp cận thông tin cần thiết để xác nhận, xử lý giao dịch, hoàn tiền và giải quyết các vấn đề phát sinh liên quan đến thanh toán.
4.4. Đơn vị cung cấp dịch vụ kỹ thuật và vận hành Website
Đơn vị cung cấp dịch vụ lưu trữ, vận hành, bảo trì, hỗ trợ kỹ thuật hoặc bảo mật Website có thể tiếp cận thông tin trong phạm vi cần thiết để thực hiện dịch vụ cho Công ty.
Các đơn vị này có trách nhiệm bảo mật và xử lý thông tin theo thỏa thuận với Công ty và quy định pháp luật.
4.5. Cơ quan nhà nước có thẩm quyền
Công ty cung cấp thông tin cá nhân cho cơ quan nhà nước có thẩm quyền khi có yêu cầu hợp pháp hoặc khi Công ty có nghĩa vụ cung cấp thông tin theo quy định pháp luật.
4.6. Tổ chức, cá nhân khác
Các tổ chức, cá nhân khác có thể được tiếp cận thông tin cá nhân khi được Khách hàng đồng ý hoặc trong trường hợp pháp luật cho phép.
Việc cung cấp thông tin được thực hiện trong phạm vi cần thiết, đúng mục đích đã thông báo và phù hợp với căn cứ pháp lý áp dụng.
4.7. Cam kết về việc cung cấp và bảo mật thông tin
Công ty không mua, bán dữ liệu cá nhân trái quy định pháp luật. Công ty yêu cầu các tổ chức, cá nhân được tiếp cận thông tin bảo mật, sử dụng thông tin đúng mục đích, đúng phạm vi và không cung cấp trái phép cho bên khác.
5. Biện pháp bảo mật thông tin, dữ liệu
Công ty áp dụng các biện pháp quản lý và kỹ thuật phù hợp nhằm bảo vệ thông tin cá nhân của Khách hàng trong quá trình thu thập, sử dụng, lưu trữ và xử lý, cụ thể như sau:
5.1. Phân quyền và kiểm soát truy cập
- Chỉ nhân viên, bộ phận và tổ chức, cá nhân có trách nhiệm theo Mục 4 của Chính sách này được tiếp cận thông tin cá nhân trong phạm vi cần thiết để thực hiện công việc.
- Tài khoản truy cập hệ thống được cấp và quản lý theo chức năng, nhiệm vụ của người sử dụng. Quyền truy cập được điều chỉnh hoặc thu hồi khi không còn phù hợp hoặc không còn cần thiết.
- Người được cấp quyền truy cập có trách nhiệm bảo mật thông tin đăng nhập và không sử dụng tài khoản của người khác để truy cập dữ liệu.
5.2. Bảo vệ thông tin trong quá trình lưu trữ và truyền tải
- Công ty áp dụng các biện pháp bảo vệ phù hợp đối với thông tin được lưu trữ trên hệ thống và truyền tải qua Website.
- Sử dụng kết nối bảo mật và các biện pháp kỹ thuật phù hợp nhằm hạn chế nguy cơ thông tin bị truy cập, thay đổi, tiết lộ hoặc sử dụng trái phép.
- Công ty không yêu cầu Khách hàng cung cấp mật khẩu hoặc mã OTP qua điện thoại, email và các hình thức liên hệ hỗ trợ thông thường.
5.3. Sao lưu và kiểm tra an toàn dữ liệu
- Thực hiện sao lưu dữ liệu theo kế hoạch của Công ty nhằm hỗ trợ khôi phục thông tin khi xảy ra sự cố.
- Kiểm tra, rà soát hệ thống và quyền truy cập định kỳ hoặc khi cần thiết; kịp thời xử lý các nguy cơ ảnh hưởng đến an toàn thông tin.
- Cập nhật, điều chỉnh các biện pháp bảo mật phù hợp với hệ thống và hoạt động thực tế của Công ty.
5.4. Bảo mật thông tin khi làm việc với đối tác
- Công ty yêu cầu các đơn vị vận chuyển, thanh toán, hỗ trợ kỹ thuật và các bên liên quan chỉ tiếp cận, sử dụng thông tin trong phạm vi cần thiết để thực hiện công việc.
- Các bên được tiếp cận thông tin có trách nhiệm bảo mật, không sử dụng thông tin cho mục đích khác hoặc cung cấp cho bên thứ ba trái với thỏa thuận và quy định pháp luật.
5.5. Xử lý sự cố và thông báo
- Khi phát hiện thông tin cá nhân có nguy cơ hoặc đã bị mất, tiết lộ, truy cập hoặc sử dụng trái phép, Công ty thực hiện:
- Kiểm tra, xác định phạm vi, nguyên nhân và mức độ ảnh hưởng của sự cố;
- Áp dụng các biện pháp ngăn chặn, hạn chế thiệt hại và khắc phục sự cố;
- Phối hợp với các bộ phận, đơn vị liên quan để xử lý sự cố và bảo vệ thông tin của Khách hàng;
- Thông báo cho cơ quan nhà nước có thẩm quyền và Khách hàng trong các trường hợp và thời hạn theo quy định pháp luật;
- Tiếp nhận, giải quyết yêu cầu và phản ánh của Khách hàng liên quan đến sự cố theo Mục 8 của Chính sách này.
6. Phương thức, quy trình xem và chỉnh sửa dữ liệu cá nhân
Khách hàng có thể đăng nhập tài khoản để xem, chỉnh sửa thông tin tại mục quản lý tài khoản nếu Website có chức năng này; hoặc liên hệ Công ty qua các kênh tại Mục 7 để yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu.
Khách hàng cung cấp họ tên, thông tin liên hệ, dữ liệu liên quan và nội dung yêu cầu. Công ty xác minh danh tính, quyền yêu cầu và hướng dẫn bổ sung khi cần thiết; không yêu cầu cung cấp mật khẩu hoặc mã OTP.
Đối với yêu cầu đúng thủ tục, Công ty phản hồi trong 02 ngày làm việc và thực hiện việc xem, chỉnh sửa hoặc cung cấp dữ liệu trong 10 ngày. Trường hợp cần phối hợp với bên xử lý hoặc bên thứ ba, gia hạn hoặc không thể thực hiện, Công ty xử lý và thông báo theo quy định pháp luật.
7. Phương thức, quy trình yêu cầu xóa, hủy hoặc hạn chế xử lý dữ liệu cá nhân
Khách hàng có thể yêu cầu xóa, hủy hoặc hạn chế xử lý dữ liệu; rút lại sự đồng ý hoặc phản đối xử lý dữ liệu bằng cách liên hệ: CÔNG TY CỔ PHẦN TẬP ĐOÀN GMS; địa chỉ: Tầng 19 khu văn phòng Tòa nhà Indochina Park Tower, số 04 Nguyễn Đình Chiểu, Phường Tân Định, Thành phố Hồ Chí Minh, Việt Nam; điện thoại: 094 7848588; email: cskh.manager@gmsgroup.vn.
Khi gửi yêu cầu, Khách hàng cung cấp họ tên, thông tin liên hệ, dữ liệu và nội dung cần xử lý. Công ty tiếp nhận, xác minh, xem xét và xử lý yêu cầu; phối hợp với các bên liên quan khi cần thiết và thông báo kết quả. Nếu không thể thực hiện hoặc phải tiếp tục lưu trữ, xử lý theo pháp luật, Công ty thông báo lý do.
Đối với yêu cầu xóa dữ liệu đúng thủ tục, Công ty phản hồi trong 02 ngày làm việc và thực hiện trong 20 ngày; trường hợp cần yêu cầu bên xử lý hoặc bên thứ ba cung cấp, xóa, hạn chế xử lý dữ liệu, thời hạn thực hiện là 30 ngày.
Đối với yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý dữ liệu đúng thủ tục, Công ty phản hồi trong 02 ngày làm việc và thực hiện trong 15 ngày; trường hợp cần yêu cầu bên xử lý hoặc bên thứ ba ngừng xử lý, thời hạn thực hiện là 20 ngày, trừ trường hợp pháp luật có quy định khác. Việc gia hạn và xử lý yêu cầu hủy dữ liệu thực hiện theo quy định pháp luật.
Việc thực hiện yêu cầu có thể ảnh hưởng đến việc cung cấp dịch vụ hoặc xử lý đơn hàng. Công ty sẽ thông báo cho Khách hàng theo quy định.
8. Phương thức, quy trình tiếp nhận và giải quyết khiếu nại, yêu cầu, phản ánh
Khách hàng gửi khiếu nại, yêu cầu hoặc phản ánh liên quan đến bảo mật thông tin qua các kênh tại Mục 7, kèm họ tên, thông tin liên hệ, nội dung sự việc và tài liệu liên quan nếu có.
Công ty tiếp nhận, xác minh, phối hợp với các bộ phận và bên liên quan để kiểm tra, xử lý, áp dụng biện pháp khắc phục phù hợp và thông báo kết quả cho Khách hàng. Công ty phản hồi khiếu nại trong 07 ngày làm việc; nếu cần thêm thời gian sẽ thông báo lý do và tiến độ. Các yêu cầu thực hiện quyền dữ liệu áp dụng thời hạn riêng tại Mục 6 và Mục 7.
Quyền và nghĩa vụ của Công ty và người mua khi giao dịch trên Website được quy định tại Mục 4, Mục 5 và Mục 6 của văn bản Các điều kiện và hạn chế trong việc cung cấp hàng hóa; các quyền và nghĩa vụ này được áp dụng cùng với Chính sách này.
