Chính sách bảo mật

Chính sách bảo vệ dữ liệu cá nhân khách hàng

Cập nhật lần cuối: Oct 16, 2026

1. Riomio là ai và chính sách này áp dụng cho ai

Riomio cam kết chỉ thu thập dữ liệu cá nhân cần thiết để phục vụ Quý khách, dùng đúng mục đích đã thông báo, không mua bán dữ liệu cá nhân dưới bất kỳ hình thức nào. Chính sách này giải thích Riomio thu thập gì, dùng để làm gì, chia sẻ với ai, lưu bao lâu và Quý khách có những quyền gì.

Bên kiểm soát và xử lý dữ liệu cá nhân

Trong chính sách này, “Riomio” hay “chúng tôi” là Công ty Cổ phần Riomio. “Quý khách” là người truy cập website, đăng ký tài khoản, đặt hàng hoặc liên hệ với Riomio qua email, Zalo, Fanpage và các kênh do Riomio quản lý.

Phạm vi áp dụng

•        Áp dụng cho dữ liệu cá nhân Riomio thu thập qua website www.riomio.vn, cửa hàng và các kênh liên lạc chính thức của Riomio.

•        Không áp dụng cho website, sàn thương mại điện tử, mạng xã hội của bên thứ ba, kể cả khi Quý khách mua sản phẩm Riomio tại đó. Các nền tảng này có chính sách riêng.

•        Tài khoản trên www.riomio.vn dành cho người từ đủ 18 tuổi. Thông tin về bé do cha, mẹ hoặc người giám hộ cung cấp, theo Mục 5.

Khi đăng ký tài khoản hoặc đặt hàng, Quý khách được yêu cầu đọc chính sách này và xác nhận bằng thao tác chủ động. Riomio không dùng ô đánh dấu sẵn và không coi việc im lặng là đồng ý.

2. Căn cứ pháp lý

Chính sách này được xây dựng theo các văn bản đang có hiệu lực:

•        Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hiệu lực từ ngày 01/01/2026;

•        Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;

•        Luật Thương mại điện tử số 122/2025/QH15 và Nghị định số 248/2026/NĐ-CP ngày 30/6/2026 quy định chi tiết một số điều của Luật Thương mại điện tử, cùng hiệu lực từ ngày 01/7/2026;

•        Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15.

Trường hợp các văn bản trên được sửa đổi, bổ sung hoặc thay thế, Riomio áp dụng quy định mới và cập nhật chính sách này theo Mục 15.

3. Dữ liệu cá nhân Riomio thu thập

Riomio chỉ thu thập các nhóm dữ liệu dưới đây, khi Quý khách tự cung cấp hoặc phát sinh trong quá trình mua hàng. Nhóm nào không bắt buộc được ghi rõ là tùy chọn.

Những dữ liệu Riomio không thu thập: số thẻ ngân hàng, mã CVV, mật khẩu hoặc mã OTP ngân hàng, ảnh căn cước, dữ liệu vị trí qua định vị, dữ liệu sinh trắc học, thông tin sức khỏe. Khi thanh toán trực tuyến, thông tin thẻ do cổng thanh toán VNPay xử lý trực tiếp; Riomio chỉ nhận kết quả giao dịch thành công hay không.

4. Mục đích xử lý và cơ sở xử lý

Mỗi mục đích có cơ sở xử lý riêng. Mục đích cần sự đồng ý được hỏi tách riêng từng mục; Quý khách vẫn mua hàng bình thường khi không đồng ý các mục đích tùy chọn.

Riomio không dùng dữ liệu của Quý khách cho mục đích khác ngoài bảng trên. Khi cần mục đích mới, Riomio thông báo và xin đồng ý mới trước khi xử lý.

5. Dữ liệu cá nhân của trẻ em

Riomio làm quần áo cho trẻ em, vì vậy dữ liệu của bé được xử lý ở mức tối thiểu và chịu kiểm soát chặt hơn dữ liệu của người lớn.

1.     Người quyết định là cha, mẹ hoặc người giám hộ. Theo khoản 2 Điều 24 Luật BVDLCN, người đại diện theo pháp luật của bé thay mặt bé cung cấp, đồng ý, yêu cầu chỉnh sửa hoặc xóa dữ liệu của bé. Riomio không chủ động thu thập dữ liệu trực tiếp từ trẻ em.

2.     Chỉ hỏi điều cần cho việc chọn size. Riomio chỉ hỏi giới tính, tháng và năm sinh, chiều cao, cân nặng. Riomio không hỏi họ tên, trường học, địa chỉ riêng hay ảnh của bé để bán hàng.

3.     Hình ảnh bé chỉ được đăng công khai khi có đồng ý riêng. Mỗi lần Riomio muốn đăng ảnh hoặc video có hình bé do khách hàng gửi, Riomio xin đồng ý bằng văn bản hoặc tin nhắn có lưu lại được, nêu rõ kênh đăng và thời gian đăng. Với bé từ đủ 07 tuổi, việc công bố hình ảnh, thông tin đời sống riêng tư của bé cần có sự đồng ý của cả bé và cha, mẹ hoặc người giám hộ.

4.     Không tiết lộ danh tính. Ảnh bé được đăng không kèm họ tên đầy đủ, trường học hay nơi ở. Theo yêu cầu của phụ huynh, Riomio làm mờ khuôn mặt trước khi đăng.

5.     Rút lại đồng ý bất cứ lúc nào. Khi phụ huynh hoặc bé (từ đủ 07 tuổi) rút lại đồng ý, Riomio ngừng xử lý và gỡ nội dung khỏi các kênh do Riomio quản lý trong thời hạn tại Mục 11. Riêng bài đã được người khác chia sẻ lại nằm ngoài quyền kiểm soát của Riomio, nhưng Riomio sẽ hỗ trợ gửi yêu cầu gỡ khi có thể.

6. Cookie và công nghệ theo dõi

Cookie phân tích và quảng cáo trên www.riomio.vn mặc định tắt và chỉ bật khi Quý khách chọn “Đồng ý” trên bảng cài đặt cookie. Dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng là dữ liệu cá nhân nhạy cảm theo điểm l khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP; Riomio thông báo rõ điều này trước khi xin đồng ý.

Riomio dùng Google Tag Manager (Google) để tải các công cụ phân tích và quảng cáo nêu trên. Tag Manager chỉ được tải khi Quý khách đã đồng ý ít nhất một loại cookie phân tích hoặc quảng cáo.

Thời hạn lưu dữ liệu tại các nền tảng: Google Analytics lưu 14 tháng kể từ ngày thu thập rồi tự động xóa; Google Ads, Meta và TikTok lưu theo thời hạn trong điều khoản dữ liệu dành cho doanh nghiệp quảng cáo của từng bên. Google, Meta, TikTok xử lý dữ liệu nhận được theo điều khoản và chính sách quyền riêng tư của từng nền tảng. Riomio chỉ gửi thông tin về trang, sản phẩm Quý khách đã xem và đơn hàng đã đặt; không gửi họ tên, số điện thoại, email hay thông tin về bé.

Quý khách thay đổi lựa chọn bất cứ lúc nào qua liên kết “Cài đặt cookie” ở chân trang website. Khi Quý khách tắt, Riomio ngừng thu thập từ thời điểm đó; Quý khách cũng có thể xóa cookie đã lưu trong cài đặt trình duyệt.

7. Ai được tiếp cận dữ liệu của Quý khách

Riomio không mua, bán, cho thuê dữ liệu cá nhân. Dữ liệu chỉ được chuyển cho các bên dưới đây, đúng phần việc của họ cần, theo thỏa thuận bằng văn bản có điều khoản bảo vệ dữ liệu cá nhân.

Chuyển dữ liệu ra nước ngoài. Một số nhà cung cấp hạ tầng của Riomio đặt máy chủ ngoài Việt Nam: máy chủ chạy website (Vercel) đặt tại Hoa Kỳ; cơ sở dữ liệu chính của website (Supabase) đặt tại Singapore; dịch vụ lưu trữ ảnh (Cloudinary), gửi email (Resend), phân tích và quảng cáo (Google, Meta, TikTok) có thể xử lý dữ liệu tại Hoa Kỳ và các quốc gia khác nơi nhà cung cấp đặt hạ tầng. Dữ liệu cần thiết để website hoạt động (đơn hàng, tài khoản, ảnh, email) đi qua các máy chủ này dù Quý khách không bật cookie tùy chọn. Việc lưu trữ dữ liệu trên các máy chủ này là chuyển dữ liệu cá nhân xuyên biên giới theo Điều 20 Luật BVDLCN. Riomio thực hiện thủ tục đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo quy định, và chỉ chọn nhà cung cấp cam kết mã hóa dữ liệu khi lưu trữ và khi truyền.

Trường hợp Riomio tái cơ cấu, sáp nhập hoặc chuyển nhượng hoạt động, dữ liệu được chuyển cho bên tiếp nhận để tiếp tục phục vụ đúng các mục đích tại Mục 4, và Quý khách được thông báo trước.

8. Thời gian lưu trữ

Riomio lưu dữ liệu đến khi hết mục đích xử lý hoặc hết thời hạn pháp luật yêu cầu, tùy mốc nào đến sau, rồi xóa, hủy hoặc khử nhận dạng bằng biện pháp an toàn, không khôi phục được.

9. Biện pháp bảo mật

Riomio áp dụng đồng thời biện pháp kỹ thuật và quản lý:

•        Toàn bộ website dùng kết nối mã hóa HTTPS; dữ liệu trên máy chủ đám mây được mã hóa khi lưu trữ và khi truyền;

•        Mật khẩu tài khoản khách hàng được mã hóa một chiều, nhân viên Riomio không xem được;

•        Phân quyền truy cập theo vai trò; tài khoản quản trị bắt buộc xác thực hai lớp;

•        Sao lưu định kỳ; xóa, hủy dữ liệu bằng biện pháp không khôi phục được khi hết thời hạn lưu trữ.

Cảnh giác giả mạo. Riomio không bao giờ yêu cầu Quý khách cung cấp mật khẩu, mã OTP, số thẻ ngân hàng qua điện thoại, tin nhắn hay email, và không yêu cầu chuyển khoản vào tài khoản cá nhân. Tài khoản nhận tiền duy nhất là tài khoản mang tên Công ty CP Riomio. Nếu nhận được yêu cầu như vậy, Quý khách vui lòng báo ngay cho Riomio qua email cskh.riomio@gmail.com hoặc Zalo OA của Riomio.

Không hệ thống nào an toàn tuyệt đối. Quý khách góp phần bảo vệ dữ liệu của mình bằng cách dùng mật khẩu riêng cho www.riomio.vn và đăng xuất sau khi dùng thiết bị chung.

10. Quyền và nghĩa vụ của Quý khách

Theo khoản 1 Điều 4 Luật BVDLCN, Quý khách có quyền:

1.     Được biết về hoạt động xử lý dữ liệu cá nhân của mình;

2.     Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý;

3.     Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu;

4.     Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu; phản đối xử lý dữ liệu;

5.     Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định pháp luật;

6.     Yêu cầu Riomio hoặc cơ quan có thẩm quyền thực hiện biện pháp bảo vệ dữ liệu của mình.

Theo khoản 2 Điều 4 Luật BVDLCN, Quý khách có nghĩa vụ tự bảo vệ dữ liệu của mình, tôn trọng dữ liệu của người khác và cung cấp thông tin đầy đủ, chính xác. Khi đặt hàng giao cho người khác, Quý khách cần được người nhận đồng ý cho Riomio dùng họ tên, số điện thoại, địa chỉ của họ để giao hàng.

11. Cách thực hiện quyền và thời hạn xử lý

Riomio không thu phí khi Quý khách thực hiện các quyền tại Mục 10.

Kênh gửi yêu cầu

•        Tự thao tác tại mục Tài khoản trên www.riomio.vn: xem, cập nhật thông tin, tải về toàn bộ dữ liệu, tắt nhận tin khuyến mãi, xóa tài khoản. Các thao tác này có hiệu lực ngay.

•        Gửi email đến cskh.riomio@gmail.com, ghi rõ họ tên, số điện thoại đã dùng mua hàng và nội dung yêu cầu.

•        Gửi thư đến trụ sở Riomio tại địa chỉ ở Mục 1.

Xác minh người yêu cầu. Để tránh giao dữ liệu cho người mạo danh, Riomio gửi mã xác nhận đến số điện thoại hoặc email Quý khách đã dùng với Riomio. Riomio không yêu cầu ảnh căn cước để xác minh.

Thời hạn xử lý theo Điều 5 Nghị định 356/2025/NĐ-CP, tính từ khi nhận đủ thông tin yêu cầu:

Khi gia hạn, Riomio thông báo lý do cho Quý khách trước khi hết thời hạn ban đầu.

Trường hợp Riomio chưa thể xóa ngay. Dữ liệu trên hóa đơn, chứng từ kế toán phải được giữ đến hết thời hạn pháp luật quy định; dữ liệu đang dùng để giải quyết khiếu nại, tranh chấp được giữ đến khi xong vụ việc (Điều 14, Điều 19 Luật BVDLCN). Khi đó, Riomio xóa phần còn lại, ngừng dùng phần phải giữ cho mọi mục đích khác, và thông báo lý do cho Quý khách.

Rút lại đồng ý và từ chối quảng cáo. Quý khách ngừng nhận tin khuyến mãi bằng liên kết “Hủy đăng ký” trong mỗi email, tùy chọn từ chối nhận tin trên Zalo OA của Riomio, mục Tài khoản hoặc email. Việc rút đồng ý không ảnh hưởng đến hoạt động xử lý đã diễn ra trước đó (khoản 4 Điều 10 Luật BVDLCN). Nếu Quý khách yêu cầu ngừng xử lý dữ liệu cần cho một đơn hàng đang giao, Riomio sẽ thông báo rằng đơn hàng đó không thể tiếp tục và cùng Quý khách xử lý hoàn tiền.

12. Sự cố lộ lọt dữ liệu và khiếu nại

Khi xảy ra sự cố. Nếu phát hiện dữ liệu cá nhân bị lộ, mất hoặc bị truy cập trái phép, Riomio:

1.     Ngăn chặn ngay nguồn gây sự cố và lập biên bản xác nhận sự việc;

2.     Thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an chậm nhất 72 giờ kể từ khi phát hiện, trong các trường hợp Điều 23 Luật BVDLCN yêu cầu;

3.     Khi sự cố có nguy cơ gây thiệt hại cho Quý khách, thông báo cho Quý khách bị ảnh hưởng qua số điện thoại hoặc email đã đăng ký, nêu rõ loại dữ liệu bị ảnh hưởng, rủi ro có thể xảy ra, biện pháp Riomio đã làm và việc Quý khách nên làm để tự bảo vệ;

4.     Phối hợp với cơ quan có thẩm quyền khắc phục hậu quả.

Khiếu nại về bảo vệ dữ liệu. Quý khách gửi khiếu nại qua các kênh tại Mục 11. Riomio phản hồi ban đầu trong 02 ngày làm việc và trả lời kết quả giải quyết trong 15 ngày kể từ khi nhận đủ thông tin. Vụ việc phức tạp cần thêm thời gian sẽ được thông báo rõ lý do và thời hạn mới.

Nếu chưa đồng ý với kết quả, Quý khách có quyền gửi phản ánh đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an, đến Hệ thống quản lý hoạt động thương mại điện tử của Bộ Công Thương tại online.gov.vn, hoặc khởi kiện tại Tòa án có thẩm quyền.

13. Trách nhiệm của các bên và luật áp dụng

Trách nhiệm của Riomio. Riomio chịu trách nhiệm trước Quý khách về thiệt hại do quá trình xử lý dữ liệu cá nhân của Riomio gây ra, theo quy định của pháp luật.

Riomio không chịu trách nhiệm đối với thiệt hại phát sinh hoàn toàn do lỗi của Quý khách hoặc của bên thứ ba nằm ngoài phạm vi kiểm soát của Riomio, khi Riomio đã thực hiện đầy đủ các biện pháp bảo vệ theo quy định, bao gồm:

1.     Quý khách tự tiết lộ mật khẩu, mã OTP, cho người khác dùng tài khoản, hoặc thiết bị của Quý khách bị nhiễm mã độc, bị chiếm quyền;

2.     Quý khách tự công khai thông tin của mình hoặc của bé trên mạng xã hội, trong bình luận công khai hoặc nhóm trò chuyện;

3.     Hoạt động của website, ứng dụng, nền tảng của bên thứ ba mà Quý khách truy cập qua đường liên kết trên www.riomio.vn; các nền tảng này áp dụng chính sách riêng;

4.     Sự kiện bất khả kháng theo quy định của Bộ luật Dân sự, mà Riomio không thể khắc phục dù đã áp dụng mọi biện pháp cần thiết và khả năng cho phép;

5.     Việc cung cấp dữ liệu theo yêu cầu hợp pháp bằng văn bản của cơ quan nhà nước có thẩm quyền.

Trách nhiệm của Quý khách.

•        Cung cấp thông tin chính xác. Khi cung cấp thông tin của người khác, như người nhận hàng, Quý khách bảo đảm đã được người đó đồng ý và chịu trách nhiệm nếu chưa có sự đồng ý đó.

•        Giữ bí mật mật khẩu và báo ngay cho Riomio khi nghi ngờ tài khoản bị truy cập trái phép.

•        Không dùng website để thu thập trái phép dữ liệu của người khác, dò quét, tấn công hệ thống hoặc sao chép dữ liệu bằng công cụ tự động. Khi phát hiện vi phạm, Riomio có quyền tạm khóa tài khoản, ngừng cung cấp dịch vụ và cung cấp thông tin cho cơ quan có thẩm quyền.

Trường hợp Riomio từ chối yêu cầu. Riomio có thể từ chối toàn bộ hoặc một phần yêu cầu khi không xác minh được người gửi là chủ thể dữ liệu hoặc người đại diện hợp pháp; khi yêu cầu xâm phạm quyền, lợi ích hợp pháp của người khác hoặc nhằm gây khó khăn, cản trở hoạt động hợp pháp của Riomio (khoản 3 Điều 4 Luật BVDLCN); hoặc khi dữ liệu thuộc trường hợp xử lý không cần sự đồng ý tại Điều 19 Luật BVDLCN. Riomio thông báo lý do từ chối bằng văn bản, kể cả dạng điện tử.

Luật áp dụng và giải quyết tranh chấp. Chính sách này được điều chỉnh bởi pháp luật Việt Nam. Tranh chấp được ưu tiên giải quyết bằng thương lượng, hòa giải; nếu không thành, mỗi bên có quyền đưa ra Tòa án có thẩm quyền theo quy định của pháp luật Việt Nam. Khi có khác biệt giữa bản tiếng Việt và bản dịch, bản tiếng Việt được áp dụng.

14. Liên hệ

Mọi câu hỏi, yêu cầu về dữ liệu cá nhân, Quý khách liên hệ bộ phận tiếp nhận yêu cầu về dữ liệu cá nhân của Riomio:

•        Bộ phận tiếp nhận: Bộ phận Chăm sóc khách hàng

•        Email: cskh.riomio@gmail.com

•        Địa chỉ: Số nhà B12-TT7 đường Nguyễn Sơn Hà, khu đô thị Văn Quán, Phường Hà Đông, TP Hà Nội

15. Sửa đổi chính sách và hiệu lực

Chính sách này có hiệu lực từ ngày 16/10/2026 và thay thế “Chính sách bảo mật thông tin khách hàng” đăng trên riomio.vn trước đây.

Khi sửa đổi, Riomio đăng bản mới trên website kèm ngày cập nhật. Thay đổi về loại dữ liệu, mục đích xử lý hoặc bên tiếp nhận được thông báo qua email hoặc tin nhắn ít nhất 7 ngày trước khi áp dụng. Với mục đích mới cần sự đồng ý, Riomio chỉ xử lý sau khi Quý khách đồng ý lại.

Các đồng ý Quý khách đã đưa ra hợp lệ trước ngày 01/01/2026 tiếp tục có hiệu lực theo khoản 1 Điều 39 Luật BVDLCN, cho đến khi Quý khách thay đổi hoặc rút lại.