Chính sách bảo vệ dữ liệu cá nhân
công cụ EMR Check 2026

1. Bên kiểm soát dữ liệu

Tên tổ chức

CÔNG TY CỔ PHẦN CÔNG NGHỆ MIO

Mã số thuế

0317348773

Địa chỉ

Số 30 Đường Số 4, Khu Đô Thị Vạn Phúc, phường Hiệp Bình, Thành phố Hồ Chí Minh

Email

info@miohealth.vn

Điện thoại

0878 474 322

Website

miohealth.vn

Trong tài liệu này, “chúng tôi” là Công ty Cổ phần Công nghệ MiO — bên kiểm soát dữ liệu cá nhân; “anh/chị” là chủ thể dữ liệu, tức người sử dụng công cụ EMR Check và để lại thông tin liên hệ.

2. Dữ liệu cá nhân được xử lý

Chúng tôi chỉ xử lý những dữ liệu sau, tất cả đều do anh/chị chủ động nhập hoặc phát sinh từ thao tác trên trang:

2.1. Dữ liệu cá nhân cơ bản

2.2. Dữ liệu về cơ sở y tế

Gồm tên cơ sở, tỉnh/thành, loại hình cơ sở và câu trả lời cho 8 câu hỏi về hiện trạng hệ thống (tình trạng hồ sơ giấy, ký số, các hệ thống đang kết nối, tình trạng dữ liệu, an toàn thông tin, vướng mắc lớn nhất, dự kiến thời điểm triển khai).

Đây là thông tin về tổ chức, không phải về cá nhân anh/chị. Tuy nhiên vì được lưu cùng thông tin liên hệ nên chúng tôi bảo vệ chúng theo cùng một chuẩn.

2.3. Dữ liệu phát sinh từ hệ thống

• Điểm sẵn sàng, phân loại mức độ, điểm theo từng nhóm tiêu chí và 3 vấn đề được ưu tiên — đều do công thức trên trang tự tính từ câu trả lời của anh/chị.
• Mã bài đánh giá và thời điểm gửi, để đối chiếu khi anh/chị cần tra lại.
• Tham số nguồn truy cập (UTM) nếu anh/chị vào trang qua một đường link chiến dịch, để chúng tôi biết kênh nào đang hiệu quả.
• Việc anh/chị có tích chọn “muốn MiO Health hỗ trợ rà soát” hay không.

2.4. Dữ liệu chúng tôi KHÔNG thu thập

• Dữ liệu bệnh nhân, hồ sơ bệnh án, kết quả xét nghiệm, thông tin sức khoẻ dưới mọi hình thức.
• Dữ liệu cá nhân nhạy cảm theo khoản 3 Điều 2 Luật số 91/2025/QH15 và danh mục do Chính phủ ban hành (tình trạng sức khoẻ, dữ liệu sinh trắc học, dữ liệu vị trí…).
• Số căn cước công dân, số tài khoản ngân hàng, thông tin thanh toán.
• Vị trí định vị thiết bị. Trang chỉ hỏi tỉnh/thành do anh/chị tự chọn từ danh sách.

3. Mục đích xử lý

Điểm a khoản 4 Điều 9 Luật số 91/2025/QH15 buộc sự đồng ý phải thể hiện theo từng mục đích, và điểm b cấm gói mục đích khác vào một ô đồng ý bắt buộc. Vì vậy trên form có hai ô tách riêng:

3.1. Mục đích bắt buộc — ô đồng ý có dấu *

Không đồng ý phần này thì công cụ không gửi được kết quả cho anh/chị:

1. Tạo và gửi bản đánh giá. Dựng bản đánh giá mức độ sẵn sàng EMR kèm danh sách hạng mục nên rà soát, rồi gửi tới email anh/chị đã nhập.
2. Lưu lại để tra cứu. Giữ bản ghi để đối chiếu khi anh/chị liên hệ hỏi lại về kết quả, và để chứng minh anh/chị đã đồng ý.

3.2. Mục đích tuỳ chọn — ô “muốn MiO Health hỗ trợ rà soát”

Chỉ áp dụng khi anh/chị chủ động tích. Bỏ trống vẫn nhận được bản đánh giá đầy đủ, không bị cắt bớt nội dung nào:

3. Liên hệ tư vấn. Nhân viên MiO Health gọi điện, nhắn Zalo hoặc gửi email để trao đổi về hiện trạng cơ sở.
4. Giới thiệu giải pháp. Trao đổi về sản phẩm, dịch vụ của MiO Health tương ứng với hiện trạng đó.

Đã tích rồi vẫn đổi ý được bất cứ lúc nào — xem mục 9. Rút lại phần tuỳ chọn không làm mất bản đánh giá anh/chị đã nhận.

3.3. Thống kê nội bộ

Chúng tôi tổng hợp số liệu ở dạng đã khử nhận dạng — không kèm tên, số điện thoại, email hay tên cơ sở — để cải thiện công cụ và hiểu bức tranh chung về mức độ sẵn sàng EMR. Theo khoản 1 Điều 2 của Luật, dữ liệu sau khi khử nhận dạng không còn là dữ liệu cá nhân.

4. Cách thức xử lý

Toàn bộ quá trình diễn ra như sau, không có bước nào ẩn:

1. Trong lúc anh/chị làm bài — câu trả lời được giữ tạm trong bộ nhớ phiên của trình duyệt (sessionStorage) ngay trên máy anh/chị, để lỡ bấm quay lại hay chuyển sang Zalo rồi trở về thì không phải làm lại từ đầu. Giai đoạn này chưa có gì rời khỏi máy anh/chị. Dữ liệu tạm này tự mất khi anh/chị đóng tab.
2. Khi anh/chị bấm gửi — và chỉ khi đó — thông tin liên hệ cùng kết quả đánh giá mới được gửi đi, sau khi anh/chị đã tích vào ô đồng ý.
3. Lưu trữ — dữ liệu được ghi vào một bảng tính Google Sheets thuộc tài khoản doanh nghiệp của MiO Health, chỉ nhân sự được phân quyền mới mở được.
4. Gửi email — hệ thống tự động dựng bản đánh giá và gửi qua dịch vụ Mailgun tới địa chỉ email anh/chị đã nhập.
5. Sau đó — nếu anh/chị yêu cầu hỗ trợ, nhân viên kinh doanh sẽ liên hệ. Nếu không, dữ liệu chỉ nằm yên trong bảng tính cho đến khi hết thời hạn lưu trữ ở mục 7.

Chúng tôi không dùng quyết định tự động để xử lý hồ sơ của anh/chị theo cách gây ảnh hưởng pháp lý. Điểm số do công thức tính chỉ mang tính tham khảo, không thay thế thẩm định của cơ quan quản lý và không dẫn tới bất kỳ quyết định nào ràng buộc anh/chị.

5. Bên thứ ba tiếp nhận dữ liệu

Để vận hành công cụ, chúng tôi sử dụng dịch vụ của các nhà cung cấp sau. Họ xử lý dữ liệu theo chỉ dẫn của chúng tôi và không được dùng cho mục đích riêng:

Ngoài hai đơn vị trên, dữ liệu của anh/chị chỉ được tiếp cận bởi nhân sự MiO Health có trách nhiệm liên quan. Hiện tại công cụ không cài đặt công cụ phân tích hành vi của bên thứ ba (như Google Analytics, Meta Pixel) và không dùng cookie quảng cáo. Nếu sau này có thay đổi, chúng tôi sẽ cập nhật chính sách này trước khi triển khai.

6. Chuyển dữ liệu ra nước ngoài

Việc chuyển dữ liệu này là cần thiết để công cụ hoạt động: không có nơi lưu thì không nhận được thông tin, không có dịch vụ gửi thư thì không gửi được bản đánh giá cho anh/chị.

Trường hợp này thuộc điểm c khoản 1 Điều 20 Luật số 91/2025/QH15 — dùng nền tảng đặt ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam. Theo khoản 2 Điều 20, chúng tôi có trách nhiệm lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày chuyển dữ liệu đầu tiên. Chúng tôi lựa chọn nhà cung cấp có cam kết bảo mật và tiêu chuẩn bảo vệ dữ liệu được công nhận rộng rãi. Nếu anh/chị không đồng ý với việc này, vui lòng không gửi thông tin qua công cụ; anh/chị vẫn có thể liên hệ trực tiếp với chúng tôi qua hotline 0878 474 322 hoặc email info@miohealth.vn.

7. Thời gian xử lý và lưu trữ

Thời gian bắt đầu xử lý là thời điểm anh/chị bấm gửi thông tin. Hết thời hạn nêu trên, dữ liệu sẽ được xoá hoặc chuyển sang dạng ẩn danh. Anh/chị có thể yêu cầu xoá sớm hơn bất cứ lúc nào theo mục 9.

8. Quyền của anh/chị

Khoản 1 Điều 4 Luật số 91/2025/QH15 quy định anh/chị có 6 quyền sau:

• Được biết về hoạt động xử lý dữ liệu cá nhân của mình. Chính tài liệu này phục vụ quyền đó.
• Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý. Im lặng hoặc không phản hồi không được coi là đồng ý (điểm d khoản 4 Điều 9).
• Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân.
• Yêu cầu cung cấp, xoá, hạn chế xử lý; gửi yêu cầu phản đối xử lý.
• Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật.
• Yêu cầu áp dụng biện pháp bảo vệ dữ liệu cá nhân của mình từ chúng tôi hoặc từ cơ quan có thẩm quyền.

Theo khoản 4 Điều 10 của Luật, việc rút lại sự đồng ý không có hiệu lực hồi tố: nó dừng việc xử lý từ thời điểm anh/chị yêu cầu trở đi, không làm mất tính hợp pháp của những gì đã xử lý trước đó — ví dụ bản đánh giá đã gửi vào hộp thư của anh/chị.

9. Cách thực hiện quyền

Gửi yêu cầu tới một trong hai địa chỉ sau, nêu rõ nội dung yêu cầu:

Để chúng tôi tìm đúng hồ sơ, anh/chị vui lòng cho biết email đã dùng khi làm bài đánh giá, hoặc mã bài đánh giá ghi ở cuối email chúng tôi đã gửi.

Khoản 5 Điều 4 Luật số 91/2025/QH15 buộc chúng tôi thực hiện kịp thời trong thời hạn pháp luật quy định. Cam kết của MiO Health là phản hồi trong vòng 72 giờ làm việc kể từ khi nhận được yêu cầu. Trường hợp cần thêm thời gian để xác minh anh/chị đúng là chủ thể dữ liệu, chúng tôi sẽ báo lý do thay vì im lặng.

Khi anh/chị yêu cầu xoá dữ liệu, chúng tôi sẽ xoá trong hệ thống của mình và ngừng liên hệ. Một số bản sao kỹ thuật trong nhật ký hệ thống của nhà cung cấp dịch vụ có thể tồn tại thêm một thời gian ngắn trước khi được ghi đè theo chu kỳ thông thường.

10. Rủi ro có thể xảy ra

Sự đồng ý chỉ thật sự là tự nguyện khi anh/chị biết cả mặt rủi ro, không chỉ mặt lợi. Chúng tôi nêu trung thực:

• Dữ liệu truyền qua Internet và lưu trên hạ tầng của bên thứ ba luôn có rủi ro bị truy cập trái phép, dù đã áp dụng biện pháp bảo vệ.
• Email chứa bản đánh giá có thể bị chuyển tiếp hoặc đọc bởi người khác nếu hộp thư của anh/chị bị xâm nhập, hoặc nếu anh/chị dùng email dùng chung của cơ sở.
• Anh/chị có thể nhận được cuộc gọi hoặc email giới thiệu dịch vụ từ MiO Health. Anh/chị có quyền từ chối bất cứ lúc nào và chúng tôi sẽ dừng ngay.
• Thông tin về hiện trạng hệ thống của cơ sở, nếu bị lộ, có thể cho thấy điểm yếu về an toàn thông tin của cơ sở đó.

Nếu xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân thuộc trường hợp phải báo cáo, chúng tôi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện, theo khoản 1 Điều 23 Luật số 91/2025/QH15, lập biên bản xác nhận theo khoản 2 Điều 23, và thông báo cho anh/chị trong thời gian sớm nhất.

11. Biện pháp bảo vệ

• Kết nối giữa trình duyệt của anh/chị và hệ thống được mã hoá bằng HTTPS.
• Bảng tính chứa dữ liệu đặt trong tài khoản doanh nghiệp, chỉ chia sẻ cho nhân sự có trách nhiệm, không để ở chế độ ai có link cũng xem được.
• Khoá truy cập dịch vụ gửi email được lưu trong kho bí mật của nền tảng, không nằm trong mã nguồn trang web.
• Hệ thống gửi email chỉ gửi tới địa chỉ do chính anh/chị nhập và dựng lại nội dung từ dữ liệu gốc, không gửi nội dung tuỳ ý do bên ngoài chèn vào.
• Có giới hạn số lượng email gửi theo giờ và theo ngày để hạn chế thiệt hại nếu hệ thống bị lạm dụng.

Khoản 3 Điều 26 Luật số 91/2025/QH15 buộc tổ chức phát triển ứng dụng về y tế phải tuân thủ đầy đủ quy định về bảo vệ dữ liệu cá nhân. MiO Health là đơn vị làm phần mềm y tế nên chịu ràng buộc này, và áp dụng nó cho cả EMR Check dù công cụ không chạm tới dữ liệu người bệnh.

12. Trẻ em và người mất năng lực hành vi dân sự

Công cụ này dành cho người quản lý, phụ trách chuyên môn hoặc phụ trách công nghệ thông tin của cơ sở y tế. Chúng tôi không chủ đích thu thập dữ liệu của trẻ em hay của người bị mất, hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi. Theo khoản 2 Điều 24 Luật số 91/2025/QH15, với những nhóm này thì người đại diện theo pháp luật thay mặt thực hiện quyền của chủ thể dữ liệu. Nếu phát hiện đã thu thập dữ liệu của các nhóm trên mà không có sự đồng ý hợp lệ, chúng tôi xoá ngay khi biết. Người đại diện theo pháp luật có thể liên hệ theo mục 9 để yêu cầu xoá.

13. Thay đổi chính sách

Khi có thay đổi, chúng tôi cập nhật ngày “Cập nhật lần cuối” ở đầu trang. Với thay đổi làm mở rộng phạm vi hoặc mục đích xử lý dữ liệu, chúng tôi sẽ thông báo và xin lại sự đồng ý của anh/chị trước khi áp dụng. Sự đồng ý anh/chị đã cấp trước đó không tự động mở rộng sang mục đích mới.

14. Liên hệ và khiếu nại

Mọi thắc mắc, yêu cầu hoặc khiếu nại về việc xử lý dữ liệu cá nhân, anh/chị gửi về info@miohealth.vn hoặc gọi 0878 474 322.

Nếu không hài lòng với cách chúng tôi giải quyết, anh/chị có quyền khiếu nại tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo Luật số 91/2025/QH15, hoặc tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo điểm đ khoản 1 Điều 4 của Luật.