Shop nhỏ giữ dữ liệu khách hàng an toàn bằng năm việc: chỉ hỏi những thông tin thật sự cần để giao hàng và chăm sóc, cất chúng ở một vài nơi có khóa thay vì rải khắp điện thoại và nhóm chat, giới hạn ai được xem, tuyệt đối không bán hay cho mượn danh sách khách, và xóa khi không còn dùng. Ở Việt Nam, việc xử lý dữ liệu cá nhân chịu sự điều chỉnh của Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân năm 2025, áp dụng cả với hộ kinh doanh, nên đây không chỉ là chuyện giữ uy tín.
Dữ liệu khách của một shop nhỏ gồm những gì
Nhiều chủ shop nghĩ mình "không có dữ liệu gì", cho tới khi ngồi liệt kê. Một cửa hàng bán qua fanpage và sàn thường đang giữ:
- Họ tên, số điện thoại, địa chỉ nhận hàng của từng người mua.
- Lịch sử đơn: mua gì, bao nhiêu tiền, khi nào, có hoàn hàng không.
- Ảnh chụp bill chuyển khoản có tên và số tài khoản của khách.
- Tin nhắn trao đổi, đôi khi kèm ảnh cá nhân (thử đồ, ảnh da trước và sau khi dùng mỹ phẩm, số đo cơ thể).
- Phiếu giao hàng đã in, sổ ghi đơn viết tay.
Một số mặt hàng khiến dữ liệu nhạy cảm hơn hẳn: thực phẩm chức năng, đồ lót, sản phẩm cho mẹ và bé, đồ dùng cho người bệnh. Biết một người mua gì đôi khi cho biết nhiều về sức khỏe và đời sống riêng của họ. Với những shop này, lớp bảo vệ cần chặt hơn.
Thu ít đi: hỏi gì là đủ
Dữ liệu không thu thì không thể bị lộ. Trước khi hỏi khách một thông tin, tự hỏi: mình dùng nó để làm gì?
| Thông tin | Cần không | Ghi chú |
|---|---|---|
| Tên người nhận, số điện thoại, địa chỉ giao | Cần | Để giao hàng |
| Ngày sinh | Thường không | Nếu muốn tặng quà sinh nhật, hỏi tháng sinh và nói rõ mục đích, cho phép khách bỏ qua |
| Ảnh căn cước, số định danh | Không | Shop bán lẻ không có lý do để giữ |
| Ảnh cá nhân để tư vấn | Tùy | Xem xong thì xóa, không lưu vào thư viện chung |
| Thông tin thẻ, mật khẩu ví | Không bao giờ | Không hỏi, không nhận, không lưu |
Nếu dùng biểu mẫu đặt hàng trực tuyến, bỏ các ô bắt buộc không cần thiết. Nếu muốn dùng số điện thoại để gửi khuyến mãi, hỏi riêng và để khách tự chọn đồng ý, không mặc định.
Cất dữ liệu ở đâu cho gọn và có khóa
Vấn đề lớn nhất của shop nhỏ không phải thiếu công cụ mà là dữ liệu nằm rải rác: ảnh phiếu giao trong điện thoại của ba nhân viên, bảng tính trên máy cá nhân, danh sách khách dán vào nhóm Zalo.
Gom về ít nơi nhất có thể:
- Dữ liệu trên sàn và phần mềm bán hàng: để nguyên trong hệ thống, không xuất ra trừ khi cần. Các nền tảng thường đã che bớt số điện thoại, địa chỉ của khách sau một thời gian.
- Một bảng tính hoặc phần mềm quản lý đơn duy nhất cho đơn từ fanpage, nằm trong tài khoản email của cửa hàng có bật xác thực hai yếu tố, chia sẻ theo từng người chứ không bật "ai có đường link cũng xem được".
- Thiết bị lưu dữ liệu phải có khóa màn hình và mã hóa. Bài mã hóa và khóa từ xa máy bán hàng hướng dẫn cụ thể phần này.
- Giấy tờ: phiếu giao in hỏng, sổ đơn cũ cần được hủy (xé nhỏ hoặc dùng máy hủy giấy), không bỏ nguyên vào thùng rác hay tái sử dụng làm giấy gói.
Sao lưu cũng là một dạng lưu trữ cần bảo vệ. Bản sao lưu danh sách khách trên ổ cứng rời bị mất cũng là lộ dữ liệu. Cách sao lưu đúng có trong bài sao lưu dữ liệu cho shop online nhỏ.
Ai được xem dữ liệu khách
Không phải ai trong shop cũng cần thấy toàn bộ danh sách. Người đóng gói cần địa chỉ của đơn đang giao, không cần lịch sử mua của khách. Người trực chat cần xem đơn của khách đang nói chuyện, không cần xuất cả danh sách.
- Cấp quyền theo vai trò trên từng nền tảng thay vì đưa tài khoản chủ cho mọi người.
- Không cho phép tải danh sách khách về điện thoại cá nhân. Nếu bắt buộc phải gửi danh sách giao hàng cho shipper, chỉ gửi đơn trong ngày.
- Khi nhân viên nghỉ, thu hồi quyền ngay trong ngày và nhắc họ xóa ảnh, tệp liên quan tới khách trên máy riêng.
- Nói rõ với nhân viên mới rằng thông tin khách là bí mật của cửa hàng, không đem ra bàn tán, không chụp màn hình đăng lên mạng kể cả để "bóc phốt" khách bom hàng.
Điểm cuối hay bị bỏ qua. Đăng ảnh tin nhắn hoặc phiếu giao của khách bom hàng kèm tên, số điện thoại lên nhóm người bán có thể khiến shop chịu trách nhiệm về việc công khai dữ liệu cá nhân của người khác, dù khách sai trước. Nếu muốn cảnh báo cộng đồng, che hết thông tin định danh.
Không bán, không đổi, không cho mượn danh sách khách
Trong các nhóm người bán thường có lời mời "đổi data khách cùng ngành", "mua tệp khách đã mua mỹ phẩm" hoặc đối tác đề nghị "cho mình xin danh sách để chạy quảng cáo chung". Câu trả lời luôn là không.
- Khách đưa số điện thoại để nhận hàng, không đồng ý để shop khác gọi chào mời.
- Mua bán dữ liệu cá nhân trái phép là hành vi bị pháp luật nghiêm cấm, không phải vùng xám.
Nếu hợp tác với đơn vị khác có chạm vào dữ liệu khách (đơn vị vận chuyển, phần mềm quản lý bán hàng, người làm quảng cáo thuê), chỉ chia sẻ phần họ cần cho đúng việc đó, và chọn đơn vị có cam kết bảo mật rõ ràng.
Xóa khi không còn cần
Dữ liệu giữ càng lâu càng nhiều rủi ro. Đặt ra một mốc thời gian hợp lý cho từng loại:
- Ảnh cá nhân khách gửi để tư vấn: xóa ngay sau khi tư vấn xong.
- Ảnh bill chuyển khoản: giữ đủ lâu để đối soát và giải quyết khiếu nại, sau đó xóa.
- Thông tin đơn hàng phục vụ sổ sách kế toán, thuế: giữ theo yêu cầu của quy định về chứng từ, nhưng cất ở nơi có giới hạn quyền.
- Khách yêu cầu xóa thông tin, ngừng nhận tin nhắn khuyến mãi: làm theo, và ghi lại là đã làm.
Đặt lịch mỗi quý một lần dọn dẹp: xóa nhóm chat cũ có danh sách khách, xóa ảnh phiếu giao trong thư viện điện thoại, xóa các bảng tính "danh sách khách bản sao" không ai dùng.
Khi dữ liệu khách bị lộ
Lộ dữ liệu có thể đến từ điện thoại bị mất, tài khoản email bị chiếm, nhân viên cũ mang danh sách đi, hoặc một bảng tính để chế độ chia sẻ công khai. Khi phát hiện:
- Chặn nguồn rò: đổi mật khẩu, thu hồi quyền chia sẻ, khóa từ xa thiết bị bị mất, đăng xuất phiên lạ.
- Xác định phạm vi: dữ liệu nào, của bao nhiêu khách, lộ từ khi nào.
- Báo cho khách bị ảnh hưởng bằng lời lẽ thẳng thắn: chuyện gì đã xảy ra, thông tin nào có thể đã lộ, họ nên cảnh giác điều gì. Nhắc khách rằng shop sẽ không bao giờ gọi xin mã OTP hay yêu cầu chuyển tiền để "nhận lại hàng".
- Ghi lại sự việc và các bước đã làm. Quy định về bảo vệ dữ liệu cá nhân có đặt ra nghĩa vụ thông báo khi xảy ra vi phạm, nên cần tìm hiểu văn bản hiện hành hoặc hỏi người có chuyên môn pháp lý để biết shop phải báo cho cơ quan nào và trong thời hạn nào.
- Theo dõi lừa đảo mạo danh: kẻ có danh sách khách thường gọi giả shop hoặc giả đơn vị giao hàng. Bài shop bị làm fanpage giả mạo lừa khách có cách cảnh báo khách mà vẫn giữ uy tín.
Pháp luật nói gì, ở mức chủ shop cần nắm
Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đặt ra nguyên tắc chung: thu thập phải có mục đích rõ ràng, có sự đồng ý của chủ thể dữ liệu trong các trường hợp cần thiết, chỉ dùng đúng mục đích, bảo vệ dữ liệu và tôn trọng quyền của người có dữ liệu như quyền được biết, được yêu cầu xóa. Luật Bảo vệ dữ liệu cá nhân năm 2025 nâng các nguyên tắc này lên tầm luật và quy định cụ thể hơn về trách nhiệm của bên xử lý dữ liệu, trong đó có cả hộ kinh doanh.
Bài viết này không đi vào điều khoản, mức xử phạt hay thời điểm hiệu lực vì các văn bản hướng dẫn có thể được ban hành, sửa đổi theo thời gian. Chủ shop nên đối chiếu văn bản hiện hành trên cổng thông tin pháp luật chính thức, hoặc hỏi luật sư, kế toán khi cần xây dựng chính sách quyền riêng tư cho website hay biểu mẫu đặt hàng.
Một trang chính sách ngắn cho shop
Không cần văn bản dài. Một đoạn ghim trên fanpage hoặc đặt ở chân website, nói rõ: shop thu những thông tin gì, để làm gì, giữ bao lâu, ai được xem, không chia sẻ cho bên thứ ba ngoài đơn vị giao hàng, và khách liên hệ đâu để yêu cầu sửa hoặc xóa. Viết bằng lời bình thường, đúng với những gì shop thật sự làm.
Câu hỏi thường gặp
Hộ kinh doanh nhỏ có phải tuân thủ quy định bảo vệ dữ liệu cá nhân không?
Có. Quy định áp dụng cho tổ chức và cá nhân xử lý dữ liệu cá nhân, không chỉ doanh nghiệp lớn. Mức độ nghĩa vụ cụ thể có thể khác nhau theo quy mô và loại dữ liệu, vì vậy nên đối chiếu văn bản hiện hành hoặc hỏi người có chuyên môn.
Có được gửi tin nhắn khuyến mãi cho khách cũ không?
Nên chỉ gửi cho khách đã đồng ý nhận, và luôn cho họ cách từ chối dễ dàng. Số điện thoại khách đưa để nhận hàng không mặc nhiên đồng nghĩa với việc đồng ý nhận quảng cáo.
Đăng ảnh khách bom hàng lên nhóm người bán có sao không?
Công khai tên, số điện thoại, địa chỉ của người khác khi chưa được đồng ý có thể vi phạm quy định về dữ liệu cá nhân, dù khách có lỗi. Nếu muốn cảnh báo, hãy che toàn bộ thông tin định danh và chỉ mô tả sự việc.
Khách yêu cầu xóa thông tin thì shop làm thế nào?
Xóa thông tin khỏi bảng tính, danh sách nhắn tin, nhóm chat do shop quản lý, và báo lại cho khách. Phần dữ liệu cần giữ cho sổ sách kế toán theo quy định thì vẫn lưu nhưng không dùng cho mục đích khác.
Lưu ý: Tên menu và tính năng của sàn, mạng xã hội, ngân hàng có thể thay đổi theo phiên bản. Khi có nghi ngờ, hãy kiểm tra trực tiếp trong ứng dụng hoặc kênh hỗ trợ chính thức của nền tảng, không làm theo hướng dẫn từ tin nhắn hay cuộc gọi lạ.
