[Mẫu] Mô tả cookie: thiết yếu, phân tích, marketing, cá nhân hóa

Mẫu mô tả nhóm cookie thiết yếu phân tích marketing là gì?

Đây là bộ mô tả có sẵn (ngắn/dài) cho từng nhóm cookie phổ biến, để bạn gắn vào banner và preference center. Theo quy định, cookie không thiết yếu (phân tích, marketing, cá nhân hóa) chỉ đặt sau khi có sự đồng ý; cookie thiết yếu có thể bật mặc định.

• Nhóm Thiết yếu (Essential)

  • Mô tả ngắn (banner): "Thiết yếu: Cần thiết để website hoạt động (đăng nhập, giỏ hàng, bảo mật). Không thể tắt."
  • Mô tả chi tiết (preference center): "Nhóm cookie này cho phép các chức năng cơ bản như điều hướng trang, duy trì phiên đăng nhập, giỏ hàng, cân bằng tải và bảo vệ chống gian lận. Không dùng cho quảng cáo hoặc phân tích hành vi. Tắt nhóm này có thể khiến website không hoạt động đúng."
  • Ví dụ cookie/nhà cung cấp: PHPSESSID, JSESSIONID, cart_id, csrf_token (1 phiên–1 ngày); Load balancer (ví dụ AWSALB) (7 ngày).

• Nhóm Phân tích (Analytics)

  • Mô tả ngắn (banner): "Phân tích: Đo lường lưu lượng và hiệu năng để cải thiện sản phẩm. Chỉ bật khi bạn đồng ý."
  • Mô tả chi tiết (preference center): "Chúng tôi dùng cookie/phương tiện tương tự để thống kê lượt truy cập, sự kiện và nguồn lưu lượng nhằm cải thiện trải nghiệm. Khi có thể, chúng tôi giảm định danh (ví dụ ẩn IP) và chỉ triển khai sau khi bạn đồng ý. Bạn có thể rút lại đồng ý bất kỳ lúc nào trong trung tâm cài đặt."
  • Ví dụ cookie/nhà cung cấp: Google Analytics 4 — _ga (2 năm), ga* (2 năm), _gid (24 giờ); Hotjar — hjSession* (30 phút). Thời hạn có thể thay đổi theo nhà cung cấp.

• Nhóm Marketing/Quảng cáo

  • Mô tả ngắn (banner): "Marketing: Cá nhân hóa quảng cáo, đo chuyển đổi trên các nền tảng. Chỉ bật khi bạn đồng ý."
  • Mô tả chi tiết (preference center): "Các cookie/ID này giúp hiển thị quảng cáo phù hợp, đo lường hiệu quả chiến dịch và tránh lặp quảng cáo. Có thể chia sẻ dữ liệu với đối tác quảng cáo. Theo quy định, chúng tôi chỉ kích hoạt sau khi bạn đồng ý rõ ràng và bạn có thể tắt bất cứ lúc nào."
  • Ví dụ cookie/nhà cung cấp: Meta Pixel — _fbp (90 ngày), fr (90 ngày); Google Ads — _gcl_au (90 ngày), _gcl_dc (90 ngày); TikTok Pixel — _ttp (13 tháng), _ttcid (13 tháng).

• Nhóm Cá nhân hóa (Personalization)

  • Mô tả ngắn (banner): "Cá nhân hóa: Ghi nhớ lựa chọn (ngôn ngữ, khu vực) và gợi ý nội dung phù hợp. Chỉ bật khi bạn đồng ý."
  • Mô tả chi tiết (preference center): "Giúp nhớ cài đặt của bạn (ngôn ngữ, tiền tệ), nội dung đã xem và hiển thị đề xuất phù hợp. Không dùng để theo dõi bạn ngoài website của chúng tôi. Chỉ kích hoạt khi có sự đồng ý và có thể thay đổi bất kỳ lúc nào."
  • Ví dụ cookie/nhà cung cấp: locale (1 năm), currency (30 ngày), last_viewed (7 ngày), recs_id (30 ngày).

Lưu ý: Tên/tuổi thọ cookie chỉ là ví dụ tham khảo; cần kiểm kê thực tế của website/app bạn.

Tôi dùng mẫu này như thế nào cho banner và preference center?

Đặt phần "mô tả ngắn" trong banner (cùng công tắc lựa chọn) và phần "mô tả chi tiết" trong preference center. Theo quy định, không cài đặt/trig các thẻ không thiết yếu trước khi có đồng ý; cho phép người dùng rút lại đồng ý dễ dàng.

Lưu ý pháp lý theo PDPL khi dùng cookie là gì?

Tóm tắt thực tiễn cho SME/dev: cookie là công cụ kỹ thuật; nghĩa vụ phát sinh khi có xử lý dữ liệu cá nhân. Theo quy định, cookie/ID không thiết yếu nên xin đồng ý rõ ràng trước khi đặt; cần nêu mục đích, loại dữ liệu, bên thứ ba, thời hạn lưu.

• Hiệu lực pháp lý: Luật 91/2025/QH15 có hiệu lực từ 01/01/2026, nâng cấp Nghị định 13/2023/NĐ-CP. Cơ quan thực thi: Bộ Công an (A05).
• Đồng ý: Không đặt cookie phân tích/marketing/cá nhân hóa trước khi có đồng ý; cung cấp cơ chế rút lại và quản lý lựa chọn.
• Chia sẻ với bên thứ ba: Nếu dùng nền tảng quảng cáo/đo lường, công bố danh sách bên nhận, mục đích và căn cứ theo quy định; cân nhắc hợp đồng xử lý dữ liệu.
• Vi phạm dữ liệu: Nếu phát hiện rò rỉ/lộ lọt dữ liệu cá nhân liên quan cookie/ID, thông báo trong 72 giờ theo quy định.
• Xử phạt: Mức phạt hành chính áp dụng theo nghị định hướng dẫn của Chính phủ; vi phạm nghiêm trọng có thể bị xử lý hình sự.
• Công cụ cụ thể: Không có công cụ nào tự động "bất hợp pháp"; nghĩa vụ phụ thuộc cách triển khai và dữ liệu thực tế. Khi cần, hãy tham vấn luật sư.

Ví dụ điền sẵn cho website thương mại điện tử Việt Nam là gì?

Bạn có thể dán trực tiếp các đoạn dưới vào hệ thống CMP:

• Thiết yếu (ngắn): "Cookie thiết yếu giữ phiên đăng nhập, giỏ hàng, bảo mật. Không thể tắt."

• Thiết yếu (dài): "Bảo đảm các chức năng lõi như thanh toán, chống gian lận, cân bằng tải. Không dùng cho quảng cáo hay phân tích. Ví dụ: PHPSESSID (phiên), csrf_token (1 ngày)."

• Phân tích (ngắn): "Cho phép đo lường lưu lượng, nguồn truy cập và hiệu năng sản phẩm. Chỉ bật khi bạn đồng ý."

• Phân tích (dài): "Dùng để thống kê số lượt xem trang, sự kiện mua hàng, kênh marketing hiệu quả. Chúng tôi cấu hình giảm định danh khi khả thi (ví dụ ẩn IP). Ví dụ: _ga (2 năm), _gid (24 giờ), hjSession* (30 phút)."

• Marketing (ngắn): "Giúp cá nhân hóa quảng cáo và đo chuyển đổi trên các nền tảng. Chỉ bật khi bạn đồng ý."

• Marketing (dài): "Hỗ trợ phân phối quảng cáo phù hợp và đo hiệu quả chiến dịch. Có thể chia sẻ dữ liệu với đối tác quảng cáo theo mục đích công bố. Ví dụ: _fbp (90 ngày), _gcl_au (90 ngày), _ttp (13 tháng)."

• Cá nhân hóa (ngắn): "Ghi nhớ lựa chọn (ngôn ngữ, khu vực), hiển thị nội dung phù hợp. Chỉ bật khi bạn đồng ý."

• Cá nhân hóa (dài): "Lưu ngôn ngữ, tiền tệ, sản phẩm đã xem để đề xuất phù hợp. Không theo dõi bạn ngoài website này. Ví dụ: locale (1 năm), last_viewed (7 ngày)."

Cần tự động hóa banner cookie, lưu bằng chứng đồng ý và xử lý yêu cầu quyền dữ liệu (DSAR)? Hãy cân nhắc consent.vn.

Nguồn: Luật 91/2025/QH15, Nghị định 13/2023/NĐ-CP, Bộ Công an (A05)