Chính sách quyền riêng tư

Đơn vị vận hành website và đóng vai trò Bên Kiểm soát dữ liệu cá nhân (Data Controller) theo Luật 91/2025/QH15 là Công ty TNHH Omi HealthTech (Omi HealthTech), thành viên của OmiGroup. Mọi yêu cầu liên quan đến quyền của chủ thể dữ liệu cá nhân được tiếp nhận qua đầu mối sau:

Trong giai đoạn khởi tạo, trước khi HL7 Vietnam được thành lập theo thông lệ quốc tế, Omi HealthTech là bên duy nhất vận hành website. Khi tổ chức HL7 Vietnam chính thức hoạt động, vai trò kiểm soát dữ liệu sẽ được chuyển giao minh bạch và chính sách này sẽ được cập nhật tương ứng.

Dữ liệu kỹ thuật cơ bản do hạ tầng web xử lý: địa chỉ IP, thời điểm truy cập, trình duyệt, hệ điều hành, URL được yêu cầu, mã trạng thái HTTP và nhật ký kỹ thuật cần thiết để vận hành, bảo mật và khắc phục sự cố. Những dữ liệu này được xử lý ở mức hạ tầng bởi nhà cung cấp CDN/hosting (xem Mục 7) và không được kết hợp để tạo hồ sơ cá nhân.

Dữ liệu liên hệ qua email: nếu bạn chủ động gửi thư tới [email protected] hoặc kênh yêu cầu dữ liệu [email protected], hệ thống email sẽ xử lý địa chỉ người gửi, nội dung thư và thông tin bạn chủ động cung cấp để tiếp nhận, xác minh và phản hồi yêu cầu. Việc bạn gửi email không được diễn giải thành sự đồng ý chung cho các mục đích khác; nếu cần mở rộng phạm vi xử lý, Omi HealthTech sẽ thông báo cơ sở áp dụng và xin sự đồng ý khi pháp luật yêu cầu.

Website không chủ động thu thập: hồ sơ y tế của cá nhân; số hoặc hình ảnh giấy tờ định danh như CCCD; thông tin BHXH, BHYT; dữ liệu sinh trắc; dữ liệu thanh toán; hoặc hồ sơ cá nhân của trẻ em. Việc phân loại mỗi trường dữ liệu là cơ bản hay nhạy cảm phụ thuộc Danh mục tại Điều 3 và Điều 4 Nghị định 356/2025/NĐ-CP; chính sách này không phân loại mọi mã định danh là dữ liệu nhạy cảm.

Chính sách này được xây dựng theo khung pháp lý Việt Nam hiện hành:

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Quốc hội thông qua 26/6/2025, hiệu lực 01/01/2026)
• Nghị định 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết thi hành Luật Bảo vệ dữ liệu cá nhân (hiệu lực 01/01/2026; Nghị định 13/2023/NĐ-CP hết hiệu lực cùng ngày)
• Luật An ninh mạng số 116/2025/QH15 (đang áp dụng từ 01/07/2026, thay Luật số 24/2018/QH14) và các văn bản hướng dẫn
• Nghị định 137/2024/NĐ-CP về giao dịch điện tử và các quy định liên quan

Với tính chất của một website chuẩn hóa công khai, nguyên tắc áp dụng là thu thập tối thiểu, minh bạch, có mục đích rõ ràng và tôn trọng lựa chọn của người dùng. Website không mở rộng xử lý dữ liệu vượt quá nhu cầu vận hành cơ bản.

Website này sử dụng cookie cần thiết để ghi nhớ lựa chọn đồng ý hoặc từ chối cookie của bạn. Cookie cần thiết không phục vụ quảng cáo, không tạo hồ sơ hành vi và không được dùng để theo dõi chéo ngoài phạm vi hoạt động tối thiểu của website.

Website dùng Google Analytics 4 thông qua Google tag (gtag.js, tải từ googletagmanager.com) để đánh giá nội dung công khai. Google tag được tải với Consent Mode v2 và analytics_storage mặc định là denied; cookie phân tích như _ga chỉ được bật khi bạn chọn đồng ý analytics. Do website tải Google tag trước khi có lựa chọn, Consent Mode có thể gửi các tín hiệu kỹ thuật không dùng cookie, kèm trạng thái đồng ý bị từ chối, tới Google; việc từ chối ngăn lưu trữ analytics trên thiết bị nhưng không được mô tả như chặn mọi yêu cầu mạng tới Google.

Website không bật advertising signals, không dùng dữ liệu phân tích cho quảng cáo/cá nhân hóa tiếp thị và không gửi dữ liệu y tế, CCCD, BHYT, BHXH hoặc nội dung lâm sàng vào Google Analytics/Google tag. Nếu bạn từ chối hoặc rút lại đồng ý, website cập nhật consent về denied và xóa các cookie GA có thể xóa được trên trình duyệt.

Bạn có thể thay đổi lựa chọn bất kỳ lúc nào bằng Tùy chọn cookie ở cuối trang.

Website được vận hành trên dịch vụ Cloudflare Pages với mạng lưới CDN toàn cầu. Việc này giúp website phục vụ người dùng Việt Nam nhanh hơn và giảm rủi ro bị tấn công, nhưng đồng thời có thể phát sinh việc xử lý dữ liệu kỹ thuật (IP, nhật ký truy cập) ở các điểm hiện diện ngoài lãnh thổ Việt Nam.

Omi HealthTech chỉ sử dụng các nhà cung cấp hạ tầng có chính sách bảo mật rõ ràng, đáp ứng chuẩn quốc tế (ISO 27001, SOC 2) và hỗ trợ các điều khoản bảo vệ dữ liệu tương đương. Khi thực hiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo NĐ 356/2025/NĐ-CP Điều 18, nội dung liên quan đến chuyển dữ liệu xuyên biên giới sẽ được công bố trong phần này.

Đối với phân tích lưu lượng, Google tag có thể xử lý tín hiệu kỹ thuật không cookie khi analytics storage bị từ chối và dữ liệu pageview đầy đủ hơn sau khi người dùng đồng ý analytics, tại hạ tầng có thể ở ngoài Việt Nam. Hoạt động này phải được đánh giá theo Luật 91/2025/QH15 Điều 20 và NĐ 356/2025/NĐ-CP Điều 17 về chuyển dữ liệu cá nhân xuyên biên giới, kèm hồ sơ theo Điều 18 khi thuộc diện phải lập. uyển phải lập, lưu và nộp hồ sơ theo Mẫu số 09 trong thời hạn luật định. Chính sách công khai này không thay thế hồ sơ đánh giá tác động.

Website không chủ động gửi dữ liệu y tế hoặc dữ liệu cá nhân nhạy cảm ra ngoài lãnh thổ Việt Nam thông qua các trang công khai của hl7.org.vn.

Thời gian lưu trữ tương ứng với mức xử lý dữ liệu tối thiểu của website:

• Nhật ký truy cập kỹ thuật (IP, thời điểm, URL): lưu ở mức nhà cung cấp hạ tầng trong thời gian cần thiết để phục vụ bảo mật và phát hiện bất thường, thông thường không quá 90 ngày.
• Nội dung email bạn chủ động gửi: lưu trong hệ thống email công việc trong thời gian hợp lý để xử lý yêu cầu và tuân thủ nghĩa vụ pháp lý (tối đa 24 tháng kể từ lần trao đổi cuối, trừ khi pháp luật yêu cầu lưu lâu hơn).
• Lựa chọn cookie: lưu tại thiết bị của bạn trong tối đa 180 ngày hoặc đến khi bạn xóa.
• Cookie phân tích GA4: chỉ có khi bạn đồng ý analytics; thời hạn do Google Analytics đặt theo cấu hình hiện hành và có thể bị xóa khi bạn rút lại đồng ý hoặc xóa cookie trình duyệt.

Dữ liệu được xóa, hủy hoặc khử nhận dạng khi thuộc trường hợp tại Điều 14 Luật 91/2025/QH15, có tính đến ngoại lệ, nghĩa vụ lưu trữ và quyền, lợi ích hợp pháp liên quan; không dùng thuật ngữ “ẩn danh” thay cho “khử nhận dạng” nếu dữ liệu vẫn có thể giúp xác định một người cụ thể.

Omi HealthTech áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu website trước truy cập trái phép, thay đổi, tiết lộ hoặc mất mát, bao gồm: HTTPS bắt buộc, kiểm soát quyền quản trị theo nguyên tắc ít đặc quyền nhất, nhật ký thay đổi nội dung và rà soát định kỳ cấu hình hạ tầng.

Trong trường hợp xảy ra sự cố vi phạm dữ liệu cá nhân liên quan tới hl7.org.vn, Omi HealthTech cam kết:

• Thông báo tới cơ quan có thẩm quyền trong vòng 72 giờ kể từ khi biết về sự cố, theo Mẫu số 08 kèm theo Nghị định 356/2025/NĐ-CP.
• Thông báo trực tiếp tới chủ thể dữ liệu bị ảnh hưởng khi có rủi ro cao tới quyền và lợi ích hợp pháp.
• Công bố cập nhật tóm tắt trên trang này sau khi sự cố được khắc phục.

Cơ sở pháp lý: mốc 72 giờ theo Luật 91/2025/QH15 Điều 23 khoản 1; nội dung thông báo theo NĐ 356/2025/NĐ-CP Điều 28 (Mẫu số 08).

Theo Luật 91/2025/QH15, bạn có các quyền sau đối với dữ liệu cá nhân của mình do website xử lý:

• Được biết về hoạt động xử lý dữ liệu cá nhân.
• Đồng ý hoặc không đồng ý, và yêu cầu rút lại sự đồng ý đối với hoạt động dựa trên sự đồng ý; việc rút lại không hồi tố phần xử lý trước thời điểm yêu cầu.
• Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp dữ liệu cá nhân.
• Yêu cầu xóa, hạn chế xử lý hoặc phản đối xử lý, trong phạm vi, điều kiện và ngoại lệ do Luật quy định.
• Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định pháp luật.
• Yêu cầu biện pháp, giải pháp bảo vệ dữ liệu cá nhân theo quy định pháp luật.

Để thực hiện các quyền trên, gửi yêu cầu tới [email protected] kèm mô tả cụ thể. Không gửi bản chụp CCCD hoặc hồ sơ y tế nếu chưa được yêu cầu qua một phương thức an toàn; Omi HealthTech có thể yêu cầu thông tin xác minh tương xứng với rủi ro trước khi cung cấp hoặc thay đổi dữ liệu.

Theo Điều 5 Nghị định 356/2025/NĐ-CP, yêu cầu đúng thủ tục được phản hồi về thủ tục trong 02 ngày làm việc. Thời hạn thực hiện không phải một mốc 30 ngày chung: 10 ngày cho xem, chỉnh sửa hoặc cung cấp; 15 ngày cho ngừng xử lý hoặc rút lại đồng ý; 20 ngày khi phải yêu cầu bên xử lý hoặc bên thứ ba ngừng xử lý; 30 ngày khi phải yêu cầu bên xử lý hoặc bên thứ ba cung cấp, xóa hoặc hạn chế xử lý; có thể gia hạn tối đa một lần không quá 15 ngày kèm nghĩa vụ chứng minh việc gia hạn là cần thiết.

Website có thể sử dụng dịch vụ của bên thứ ba trong phạm vi cần thiết để vận hành hạ tầng web (CDN, email, analytics, giám sát vận hành). Vai trò pháp lý của mỗi nhà cung cấp — bên xử lý, bên thứ ba hoặc vai trò khác — được xác định theo hoạt động thực tế và điều khoản áp dụng; không mặc định mọi nhà cung cấp đều là Bên xử lý dữ liệu theo chỉ thị của Omi HealthTech.

Đối với analytics, website dùng Google Analytics 4 qua Google tag trong phạm vi đo lường nội dung công khai và chỉ đặt cookie phân tích sau khi người dùng đồng ý. Dữ liệu analytics không được dùng cho quảng cáo, retargeting hoặc hồ sơ hành vi cá nhân.

Website không bán dữ liệu cá nhân, không khai thác dữ liệu cho quảng cáo hành vi và không vận hành các luồng tiếp thị tự động. Website cũng không cung cấp dữ liệu cho bên thứ ba vì mục đích thương mại, trừ trường hợp pháp luật Việt Nam yêu cầu.