Cập nhật lần cuối: 26 tháng 5 năm 2026
Ngày có hiệu lực: 26 tháng 5 năm 2026
Phiên bản: 3.0 (Đa khu vực pháp lý)

1. Giới thiệu và phạm vi

Chính sách Bảo vệ Dữ liệu Cá nhân này (” Chính sách “) mô tả cách thức Tập đoàn Boxme (” Boxme “, ” chúng tôi “) thu thập, sử dụng, lưu trữ, chia sẻ và bảo vệ dữ liệu cá nhân của khách hàng, đối tác, khách truy cập trang web và các chủ thể dữ liệu khác (” bạn “, ” Chủ thể Dữ liệu “).

Boxme là một tập đoàn logistics đa quốc gia, do đó Chính sách này được thiết kế để đồng thời tuân thủ các khuôn khổ pháp lý sau:

• Việt Nam: Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15, Luật An ninh mạng năm 2018, Luật Giao dịch điện tử năm 2023, Nghị định số 53/2022/ND-CP
• Thái Lan: Đạo luật bảo vệ dữ liệu cá nhân BE 2562 (2019) — PDPA
• Tiêu chuẩn quốc tế (làm cơ sở): Quy định chung về bảo vệ dữ liệu của EU (GDPR) — áp dụng các tiêu chuẩn cao nhất làm cơ sở so sánh.

Nguyên tắc “Tiêu chuẩn cao nhất”: Trong trường hợp các yêu cầu khác nhau giữa các khu vực pháp lý, Boxme áp dụng mức độ bảo vệ cao nhất cho tất cả các Chủ thể Dữ liệu, bất kể quốc tịch hay nơi cư trú.

2. Bộ điều khiển dữ liệu

2.1. Đơn vị kiểm soát dữ liệu chính tại Việt Nam:

Công Ty Cổ Phần Boxme Việt Nam

• Mã số thuế: 0106693837
• Ngày thành lập: 18 tháng 11 năm 2014
• Trụ sở chính: Tầng 3, Tòa nhà VTC Online, số 18 đường Tam Trinh, phường Tường Mai, Hà Nội, Việt Nam
• Văn phòng phía Nam: 185B Đường Trung Mỹ Tây 5, Khu 6, Nhóm 18, Phường Trung Mỹ Tây, Quận 12, Thành phố Hồ Chí Minh
• Trang web: boxme.asia
• Thông tin liên hệ chung: contact@boxme.asia

2.2. Đơn vị chịu trách nhiệm quản lý dữ liệu tại Thái Lan:

Công ty TNHH Boxme Thái Lan (Mã số thuế Thái Lan: 0105560012784) — chịu trách nhiệm xử lý dữ liệu cá nhân của các Chủ thể dữ liệu tại Thái Lan.

2.3. Các đơn vị liên kết tại Việt Nam có thể cùng kiểm soát hoặc xử lý dữ liệu:

• Công ty Cổ phần Mua sắm Toàn cầu (Mã số thuế 0109011779)
• Công ty Cổ phần BMG Tech (Mã số thuế 0109011786)

3. Cán bộ bảo vệ dữ liệu (DPO)

Để thực hiện các quyền của bạn hoặc nêu thắc mắc về Chính sách này, vui lòng liên hệ với Cán bộ Bảo vệ Dữ liệu của chúng tôi:

• Email: privacy@boxme.asia
• Địa chỉ bưu điện: Cán bộ bảo vệ dữ liệu — Công ty Cổ phần Boxme Việt Nam, Tầng 3, VTC Online, 18 Tam Trinh, Phường Tường Mai, Hà Nội
• Các kênh liên hệ: qua email, thư bưu điện hoặc biểu mẫu trực tuyến trên trang web của chúng tôi.
• Thời gian phản hồi ban đầu: trong vòng 72 giờ làm việc

4. Nguyên tắc bảo vệ dữ liệu

Boxme cam kết tuân thủ 7 nguyên tắc cơ bản sau (nhất quán trong GDPR, PDPA của Thái Lan và Luật 91/2025 của Việt Nam):

1. Tính hợp pháp, công bằng, minh bạch — quá trình xử lý dựa trên cơ sở pháp lý rõ ràng với thông báo đầy đủ cho bạn.
2. Giới hạn mục đích — chỉ xử lý dữ liệu cho các mục đích đã được thông báo, không được lạm dụng.
3. Giảm thiểu dữ liệu — chỉ thu thập những dữ liệu cần thiết.
4. Độ chính xác — đảm bảo dữ liệu luôn được cập nhật, cho phép bạn sửa chữa nếu cần.
5. Giới hạn dung lượng lưu trữ — chỉ giữ lại dữ liệu trong thời gian cần thiết, có thể xóa theo lịch trình.
6. Tính chính trực và bảo mật — áp dụng các biện pháp kỹ thuật và tổ chức phù hợp.
7. Trách nhiệm giải trình — chúng ta có trách nhiệm chứng minh sự tuân thủ.

5. Dữ liệu cá nhân mà chúng tôi thu thập

5.1. Thông tin cá nhân cơ bản

• Họ và tên đầy đủ, ngày sinh, giới tính
• Số điện thoại, địa chỉ email
• Địa chỉ giao hàng, địa chỉ nhà riêng
• Tên công ty, chức danh (đối với khách hàng B2B)
• Thông tin tài khoản: tên người dùng, mật khẩu đã mã hóa
• Lịch sử đơn hàng, lịch sử giao dịch, tùy chọn mua sắm
• Địa chỉ IP, thông tin trình duyệt, dữ liệu cookie, dữ liệu phiên
• Hình ảnh và video bạn tự nguyện gửi qua các kênh hỗ trợ khách hàng

5.2. Dữ liệu cá nhân nhạy cảm

Theo phân loại của Luật số 91/2025 của Việt Nam, Điều 26 của Luật Bảo vệ Dữ liệu Cá nhân Thái Lan và Điều 9 của GDPR, các loại dữ liệu sau đây được coi là dữ liệu nhạy cảm. Boxme chỉ thu thập chúng khi có sự đồng ý rõ ràng của bạn hoặc khi pháp luật yêu cầu:

• Số CMND/CMND/Hộ chiếu (chỉ áp dụng cho các lô hàng có giá trị cao, theo yêu cầu của đối tác giao hàng hoặc cơ quan hải quan)
• Thông tin tài khoản ngân hàng (chỉ dành cho khách hàng/đối tác B2B có giao dịch thanh toán hoặc đối chiếu)
• Định vị chính xác (chỉ khi bạn bật tính năng này trên ứng dụng theo dõi đơn hàng)

5.3. Dữ liệu mà Boxme KHÔNG thu thập

Boxme không thu thập dữ liệu về tình trạng sức khỏe, đời sống tình dục, tín ngưỡng tôn giáo, quan điểm chính trị, dữ liệu di truyền, dữ liệu sinh trắc học hoặc hồ sơ tội phạm của khách hàng.

6. Phương pháp thu thập

Chúng tôi thu thập dữ liệu cá nhân từ các nguồn sau:

• Trực tiếp từ bạn: thông qua biểu mẫu liên hệ, đăng ký tài khoản, đăng ký nhận bản tin, trò chuyện hỗ trợ, cuộc gọi điện thoại, email.
• Từ các đối tác kinh doanh của bạn: chủ sở hữu thương hiệu và người bán sử dụng Boxme để thực hiện đơn hàng đến khách hàng cuối cùng.
• Từ các nền tảng thương mại điện tử và kênh bán hàng: Shopee, Lazada, TikTok Shop khi đơn hàng được chuyển đến Boxme để xử lý.
• Tự động thông qua cookie và các công nghệ tương tự: khi bạn truy cập boxme.asia
• Theo nguồn công khai: Cổng đăng ký doanh nghiệp quốc gia (dành cho khách hàng B2B)

7. Cơ sở pháp lý và mục đích xử lý dữ liệu

Mọi hoạt động xử lý dữ liệu cá nhân của Boxme đều dựa trên ít nhất một trong các căn cứ pháp lý sau (theo Điều 6 GDPR, Điều 24 Luật Bảo vệ Dữ liệu Cá nhân Thái Lan và Điều 11 Luật 91/2025 của Việt Nam):

8. Chia sẻ dữ liệu với bên thứ ba

Boxme chỉ chia sẻ dữ liệu cá nhân với các bên thứ ba sau đây, trong phạm vi cần thiết và theo các hợp đồng bảo mật:

8.1. Đối tác vận chuyển và giao hàng

Giao Hàng Nhanh (GHN), Giao Hàng Tết Kiếm (GHTK), Viettel Post, J&T Express, Ninja Van, Best Express, Lalamove, Ahamove, Flash Express (Thái Lan), Kerry Express (Thái Lan) và các hãng vận chuyển khác trong mạng lưới hơn 50 đối tác của Boxme.

8.2. Các đối tác công nghệ và cơ sở hạ tầng

• Các nhà cung cấp dịch vụ đám mây, lưu trữ dữ liệu và sao lưu
• Các nhà cung cấp dịch vụ tiếp thị qua email và CRM
• Các nhà cung cấp phân tích web (Google Analytics)
• Các nhà cung cấp dịch vụ xử lý thanh toán và hóa đơn điện tử

8.3. Các nền tảng thương mại điện tử và kênh bán hàng

Shopee, Lazada, TikTok Shop, Tiki, Sendo — khi các đơn hàng được tạo và đồng bộ hóa với hệ thống của Boxme.

8.4. Cơ quan Chính phủ

Theo yêu cầu bằng văn bản hợp pháp từ:

• Cơ quan Thuế, Cơ quan Công an, Tòa án, Cục An ninh mạng và Phòng chống tội phạm công nghệ cao (A05) — Bộ Công an Việt Nam
• Ủy ban Bảo vệ Dữ liệu Cá nhân (PDPC) — Thái Lan và các cơ quan có thẩm quyền khác của Thái Lan.

8.5. Các thực thể liên kết

Công ty Cổ phần Mua sắm Toàn cầu, Công ty Cổ phần Công nghệ BMG, Công ty TNHH Boxme Thái Lan và các công ty con, chi nhánh khác của Boxme.

Boxme cam kết KHÔNG bán, cho thuê hoặc trao đổi dữ liệu cá nhân của bạn với bất kỳ bên thứ ba nào vì mục đích thương mại.

9. Chuyển dữ liệu xuyên biên giới

Do Boxme hoạt động tại nhiều quốc gia, dữ liệu cá nhân của bạn có thể được chuyển từ quốc gia gốc của bạn đến các khu vực pháp lý sau:

• Việt Nam và Thái Lan: giữa hai thực thể chính của tập đoàn.
• Philippines: Chi nhánh Boxme Philippines
• Hoa Kỳ, Singapore, Hồng Kông: địa điểm đặt máy chủ của các nhà cung cấp dịch vụ đám mây và nền tảng thương mại điện tử của chúng tôi.

9.1. Dành cho các chủ thể dữ liệu tại Việt Nam

Boxme hoàn toàn tuân thủ Điều 27 và Điều 28 của Luật 91/2025, bao gồm:

• Chuẩn bị Báo cáo Đánh giá Tác động Chuyển dữ liệu Xuyên biên giới (TIA)
• Thông báo cho Bộ Công an trước khi chuyển giao.
• Thực hiện các điều khoản hợp đồng tiêu chuẩn (SCC) với bên nhận

9.2. Dành cho các chủ thể dữ liệu tại Thái Lan

Boxme tuân thủ Điều 28-29 của Luật Bảo vệ Dữ liệu Cá nhân Thái Lan và Thông báo của Ủy ban Bảo vệ Dữ liệu Cá nhân ngày 24 tháng 3 năm 2024 về chuyển dữ liệu xuyên biên giới. Cụ thể, Boxme áp dụng các biện pháp bảo vệ thích hợp như:

• Các điều khoản hợp đồng mẫu của ASEAN về luồng dữ liệu xuyên biên giới
• Hoặc các Điều khoản Hợp đồng Tiêu chuẩn của EU (SCC)
• Đảm bảo bên nhận áp dụng các biện pháp bảo vệ tương đương với PDPA.

9.3. Đối với các chủ thể dữ liệu tại EU/EEA (nếu có)

Trường hợp Boxme xử lý dữ liệu của cư dân EU, tất cả các hoạt động chuyển dữ liệu ra ngoài EU/EEA đều được thực hiện theo các Điều khoản Hợp đồng Tiêu chuẩn của EU theo Quyết định (EU) 2021/914 của Ủy ban Châu Âu, với các biện pháp bổ sung khi cần thiết.

10. Thời gian lưu trữ dữ liệu

Sau khi thời hạn lưu trữ kết thúc, dữ liệu sẽ bị xóa vĩnh viễn hoặc được ẩn danh hóa thông qua một quy trình được kiểm soát.

11. Quyền của chủ thể dữ liệu

Boxme công nhận và đảm bảo các quyền sau đây cho mọi Chủ thể Dữ liệu, bất kể quốc tịch hay nơi cư trú (áp dụng tiêu chuẩn cao nhất trong số Luật 91/2025 của Việt Nam, Luật Bảo vệ Dữ liệu Cá nhân của Thái Lan và GDPR):

1. Quyền được thông báo về việc xử lý dữ liệu
2. Quyền đồng ý hoặc từ chối đồng ý xử lý dữ liệu
3. Quyền truy cập: yêu cầu xem và sao chép dữ liệu của bạn
4. Quyền rút lại sự đồng ý bất cứ lúc nào, miễn phí, không cần lý do — việc rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của việc xử lý dữ liệu trước đó.
5. Quyền được sửa chữa thông tin không chính xác, sai sót hoặc không đầy đủ.
6. Quyền xóa bỏ (“Quyền được lãng quên” theo Điều 17 của GDPR) — yêu cầu xóa bỏ, trừ trường hợp pháp luật yêu cầu lưu giữ.
7. Quyền hạn chế xử lý dữ liệu — yêu cầu tạm ngừng xử lý trong các trường hợp tranh chấp
8. Quyền chuyển đổi dữ liệu (Điều 20 GDPR) — nhận dữ liệu ở định dạng có cấu trúc, có thể đọc được bằng máy.
9. Quyền phản đối, đặc biệt là đối với tiếp thị trực tiếp và lập hồ sơ tự động.
10. Quyền không bị lệ thuộc vào quyết định tự động có hiệu lực pháp lý đáng kể (Điều 22 GDPR) — yêu cầu sự can thiệp của con người
11. Quyền khiếu nại, tố cáo, khởi kiện theo quy định của pháp luật.
12. Quyền được bồi thường thiệt hại do xử lý sai trái gây ra

11.1. Cách thực hiện quyền của bạn

Bạn có thể gửi yêu cầu thông qua các kênh sau (Boxme cung cấp ít nhất 2 kênh để tuân thủ Luật Bảo vệ Dữ liệu Cá nhân Thái Lan):

• Email: privacy@boxme.asia
• Biểu mẫu trực tuyến: [liên kết đến Biểu mẫu Yêu cầu Dữ liệu Cá nhân]
• Bưu điện: Cán bộ bảo vệ dữ liệu, Boxme Việt Nam, Tầng 3 VTC Online, 18 Tam Trinh, P. Tương Mai, Hà Nội
• Gặp trực tiếp tại văn phòng Boxme ở Hà Nội hoặc TP.HCM (cần đặt hẹn trước)

11.2. Thời gian xử lý yêu cầu

11.3. Lệ phí và Điều kiện

Việc thực hiện các quyền của bạn hoàn toàn miễn phí . Đối với các yêu cầu rõ ràng là vô căn cứ hoặc lặp đi lặp lại quá mức, Boxme có thể tính phí hợp lý hoặc từ chối yêu cầu, kèm theo lý do bằng văn bản.

Boxme có thể yêu cầu xác minh danh tính trước khi xử lý yêu cầu của bạn, nhằm bảo vệ dữ liệu của bạn khỏi sự truy cập trái phép.

12. Bảo mật dữ liệu

Boxme áp dụng các biện pháp bảo vệ kỹ thuật và tổ chức phù hợp với mức độ rủi ro, theo yêu cầu của Điều 24 Luật 91/2025 của Việt Nam, Điều 37 Luật Bảo vệ Dữ liệu Cá nhân của Thái Lan và Điều 32 của GDPR.

12.1. Biện pháp kỹ thuật

• Mã hóa SSL/TLS 1.3 cho tất cả các giao tiếp trên web.
• Mã hóa AES-256 cho dữ liệu nhạy cảm khi lưu trữ.
• Xác thực hai yếu tố (2FA) cho tài khoản quản trị
• Kiểm soát truy cập tối thiểu
• Ghi nhật ký kiểm toán về mọi lần truy cập dữ liệu nhạy cảm.
• Tường lửa và Hệ thống phát hiện/ngăn chặn xâm nhập (IDS/IPS)
• Sao lưu dữ liệu thường xuyên và kế hoạch phục hồi sau thảm họa (DR).
• Kiểm tra bảo mật định kỳ và kiểm thử xâm nhập

12.2. Các biện pháp tổ chức

• Đào tạo thường xuyên về bảo mật dữ liệu cho tất cả nhân viên.
• Thỏa thuận bảo mật thông tin (NDA) với tất cả nhân viên và đối tác.
• Kiểm soát truy cập vật lý vào trung tâm dữ liệu và kho hàng
• Đánh giá rủi ro định kỳ và cập nhật các biện pháp bảo vệ.
• Các thỏa thuận xử lý dữ liệu (DPA) với tất cả các bên xử lý phụ dữ liệu thay mặt cho Boxme.

13. Ứng phó sự cố rò rỉ dữ liệu

Trong trường hợp xảy ra vi phạm dữ liệu cá nhân, Boxme cam kết:

1. Thông báo cho cơ quan giám sát trong vòng 72 giờ:
   • Bộ Công an Việt Nam (dữ liệu công dân Việt Nam)
   • Ủy ban Bảo vệ Dữ liệu Cá nhân — PDPC Thái Lan (đối với dữ liệu của cư dân Thái Lan)
   • Cơ quan bảo vệ dữ liệu EU có liên quan (nếu GDPR được áp dụng)
2. Thông báo trực tiếp cho các Chủ thể Dữ liệu bị ảnh hưởng càng sớm càng tốt nếu vi phạm gây ra rủi ro cao.
3. Thực hiện các biện pháp khắc phục để giảm thiểu thiệt hại.
4. Nộp báo cáo chi tiết về nguyên nhân, tác động và các biện pháp khắc phục.
5. Xem xét và cải tiến hệ thống để ngăn ngừa sự tái diễn.

14. Cookie và Công nghệ Theo dõi

Trang web boxme.asia sử dụng cookie và các công nghệ tương tự. Chi tiết được mô tả trong Chính sách Cookie riêng của chúng tôi.

Trong lần truy cập đầu tiên, bạn sẽ thấy một thông báo dạng banner và có thể lựa chọn:

• Chấp nhận tất cả cookie
• Chỉ chấp nhận các cookie cần thiết (cookie thiết yếu không cần sự đồng ý theo PDPA và GDPR)
• Tùy chỉnh từng loại cookie (phân tích, tiếp thị, chức năng)

Việc thu hồi sự chấp thuận sử dụng cookie cũng dễ dàng như khi chấp thuận — bạn có thể thay đổi tùy chọn của mình bất cứ lúc nào thông qua biểu tượng cookie ở cuối trang web.

15. Bảo vệ dữ liệu trẻ em

Boxme áp dụng ngưỡng độ tuổi cao nhất trong số các luật hiện hành để bảo vệ trẻ em:

• Dưới 16 tuổi: Boxme không cố ý thu thập dữ liệu và yêu cầu sự đồng ý từ cha mẹ/người giám hộ hợp pháp (theo Luật 91/2025 của Việt Nam và Điều 8 GDPR).
• Từ 16 đến dưới 20 tuổi (đặc biệt tại Thái Lan): tuân thủ Luật Bảo vệ Dữ liệu Cá nhân Thái Lan (PDPA) — một số hoạt động xử lý dữ liệu có thể yêu cầu sự đồng ý bổ sung của người giám hộ.

Nếu bạn phát hiện chúng tôi đã thu thập dữ liệu từ trẻ em mà không có sự đồng ý hợp lệ, vui lòng liên hệ với privacy@boxme.asia và chúng tôi sẽ xóa dữ liệu đó ngay lập tức.

16. Liên kết đến các trang web của bên thứ ba

Trang web của chúng tôi có thể chứa các liên kết đến các trang web của bên thứ ba (đối tác, nền tảng thương mại điện tử, mạng xã hội). Chính sách này không áp dụng cho các trang web đó. Bạn nên xem xét chính sách bảo mật của các trang web đó trước khi cung cấp bất kỳ thông tin nào.

17. Những thay đổi đối với Chính sách này

Boxme có thể cập nhật Chính sách này theo thời gian để phản ánh những thay đổi trong luật pháp hoặc hoạt động kinh doanh. Những thay đổi quan trọng sẽ được thông báo qua:

• Hiển thị trên trang chủ website ít nhất 30 ngày trước ngày có hiệu lực.
• Gửi email đến các tài khoản đã đăng ký
• Cập nhật ngày “Cập nhật lần cuối” ở đầu Chính sách.

Việc tiếp tục sử dụng dịch vụ sau ngày có hiệu lực của Chính sách sửa đổi đồng nghĩa với việc chấp nhận các thay đổi đó.

18. Khiếu nại và Cơ quan Giám sát

Nếu bạn cho rằng Boxme đã xử lý dữ liệu cá nhân của bạn một cách bất hợp pháp, bạn có quyền:

18.1. Hãy khiếu nại trực tiếp với Boxme.

Vui lòng gửi khiếu nại đến privacy@boxme.asia . Boxme cam kết sẽ phản hồi trong vòng 72 giờ.

18.2. Nộp đơn khiếu nại lên cơ quan giám sát có thẩm quyền.

Ở Việt Nam:

• Cục An ninh mạng và Phòng chống tội phạm công nghệ cao (A05) — Bộ Công an
• Địa chỉ: 47 Phạm Văn Đồng, Mai Dịch, Cầu Giấy, Hà Nội

Tại Thái Lan:

• Văn phòng Ủy ban Bảo vệ Dữ liệu Cá nhân (PDPC)
• Trang web: pdpc.or.th

Tại EU/EEA (nếu có):

• Cơ quan bảo vệ dữ liệu của quốc gia thành viên EU nơi bạn cư trú
• Danh sách: edpb.europa.eu

18.3. Kiện tụng

Tại Tòa án có thẩm quyền theo luật tố tụng dân sự áp dụng cho bạn.

19. Ngôn ngữ và thứ tự ưu tiên

Chính sách này được công bố bằng cả tiếng Việt và tiếng Anh. Trong trường hợp có bất kỳ sự không nhất quán nào giữa hai phiên bản:

• Đối với chủ thể dữ liệu tại Việt Nam: phiên bản tiếng Việt sẽ được ưu tiên áp dụng.
• Đối với chủ thể dữ liệu ở các quốc gia khác: phiên bản tiếng Anh sẽ được ưu tiên áp dụng.

20. Thông tin liên hệ

Công Ty Cổ Phần Boxme Việt Nam

• Trụ sở chính: Tầng 3, Tòa nhà VTC Online, số 18 đường Tam Trinh, phường Tường Mai, Hà Nội
• Thông tin liên hệ chung: contact@boxme.asia
• Cán bộ bảo vệ dữ liệu (DPO): privacy@boxme.asia
• Trang web: https://boxme.asia

Công ty TNHH Boxme Thái Lan

• Thông tin liên hệ DPO Thái Lan: privacy@boxme.asia (được xử lý tập trung thông qua DPO Tập đoàn)

© 2026 Công ty Cổ phần Boxme Việt Nam. Mọi quyền được bảo lưu.