Bảo Mật Dữ Liệu Khách Hàng Y Tế Trên CRM: Zoho Có Đủ Không?
Phòng khám, nha khoa, cơ sở thẩm mỹ, nhà thuốc, công ty bảo hiểm hay công ty thiết bị y tế đều có chung một nhu cầu: biết khách hàng của mình là ai, họ cần gì, lần liên hệ cuối là khi nào. Đó là việc của CRM. Nhưng khi "khách hàng" cũng là người bệnh, danh sách liên hệ có thể ngầm chứa thông tin về tình trạng sức khỏe, và câu hỏi "CRM này có an toàn không?" trở nên nghiêm trọng hơn nhiều.
Câu trả lời ngắn cho câu hỏi trong tiêu đề: một phần, và có điều kiện. Zoho công bố nhiều kiểm soát kỹ thuật và chứng nhận phù hợp với yêu cầu bảo mật thông thường. Nhưng "có đáp ứng được không" không chỉ là câu hỏi dành cho nhà cung cấp. Nó phụ thuộc vào loại dữ liệu bạn đưa vào CRM, cách bạn cấu hình, và cách đọc pháp luật Việt Nam, trong đó có hai điểm chúng tôi chưa thể kết luận và bạn cần luật sư xác nhận.
Công khai lợi ích: Phanmembiz là đơn vị triển khai Zoho, nên chúng tôi có lợi ích thương mại khi bạn chọn Zoho. Để cân bằng, bài này chỉ dùng tài liệu và trang chính thức của Zoho để mô tả Zoho, chỉ ra những chỗ các trang của Zoho mâu thuẫn hoặc không nói gì, và nêu cả những tình huống chúng tôi không khuyên dùng bất kỳ CRM đám mây nước ngoài nào. Mọi khuyến nghị về quy trình là nhận định của chúng tôi, không phải kết quả nghiên cứu; phần pháp lý là tóm tắt để định hướng, không phải tư vấn pháp lý.
Dữ liệu khách hàng y tế nhạy cảm đến mức nào theo pháp luật Việt Nam
Theo Nghị định 356/2025/NĐ-CP (hiệu lực từ 1/1/2026, hướng dẫn Luật Bảo vệ dữ liệu cá nhân), "tình trạng sức khỏe" thuộc danh mục dữ liệu cá nhân nhạy cảm (Điều 4) (LuatVietnam; EY cũng ghi nhận danh mục này được mở rộng, EY Việt Nam, 3/2026). Khi xử lý dữ liệu nhạy cảm, tổ chức phải:
- thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật (Điều 4);
- thông báo cho chủ thể dữ liệu rằng đây là dữ liệu nhạy cảm khi xin sự đồng ý (Điều 6);
- lưu trữ sự đồng ý (Điều 6);
- không thiết lập phương thức "đồng ý" mặc định (Điều 6).
Ngoài ra, hồ sơ bệnh án có chế độ riêng theo Luật Khám bệnh, chữa bệnh 2023: người bệnh được giữ bí mật thông tin trong hồ sơ bệnh án và thông tin khác về đời tư (Điều 10), và hồ sơ bệnh án phải được lưu giữ, giữ bí mật theo quy định của pháp luật (Điều 69) (Điều 10, Điều 69). Lý do đó đủ để một nguyên tắc đơn giản trở thành xương sống của cả bài: CRM không phải nơi lưu hồ sơ bệnh án. Chúng tôi đọc các điều luật này qua nguồn thứ cấp; chi tiết nghĩa vụ cần luật sư xác nhận.
Rủi ro có thật: điều dữ liệu cho thấy và không cho thấy
Một bài tổng hợp của VietNamNet (1/10/2025) liệt kê các vụ được cho là đã xảy ra với bệnh viện ở Việt Nam: hệ thống máy chủ của Bệnh viện Đa khoa Trung tâm tỉnh An Giang bị mã hóa toàn bộ dữ liệu, 9 máy chủ bị mã hóa tại Bệnh viện Đa khoa Đức Giang (10/2024), hơn 500GB dữ liệu bị mã hóa tại một trung tâm của Bệnh viện Trung ương Huế (1/2025), và một lời rao bán 112.000 hồ sơ của bệnh nhân và nhân viên y tế Bệnh viện Hồng Ngọc (6/2024) (VietNamNet, 1/10/2025).
Hãy đọc với ba lưu ý. Một, bài không trích xác nhận của bệnh viện nào; con số 112.000 hồ sơ đến từ lời rao bán trên diễn đàn tội phạm nên chưa được kiểm chứng. Hai, các vụ mã hóa máy chủ kể trên liên quan đến hệ thống của chính bệnh viện, không phải CRM đám mây. Ba, bài không cho biết có bao nhiêu cơ sở y tế bị ảnh hưởng nói chung.
Điều nó gợi ý: mối đe dọa đối với dữ liệu y tế ở Việt Nam là có thật, và nhiều khi nằm ở hệ thống tại chỗ chứ không phải trên đám mây. Nghĩa là chọn CRM đám mây hay tại chỗ không tự động quyết định mức an toàn; cấu hình, phân quyền và quy trình mới quyết định. Chúng tôi không có số liệu so sánh mức vi phạm giữa hai mô hình.
Zoho công bố gì về bảo mật, và giới hạn của từng điều
Dưới đây là những gì chúng tôi đọc được trên các trang chính thức của Zoho (tháng 10/2026), kèm giới hạn:
| Nội dung | Zoho nói gì | Giới hạn cần biết |
|---|---|---|
| Chứng nhận và báo cáo kiểm toán | ISO/IEC 27001 (hệ thống quản lý an toàn thông tin), 27701 (quản lý thông tin riêng tư), 27017 (bảo mật đám mây) và 27018 (bảo vệ thông tin cá nhân trên đám mây), hiệu lực tới 21/8/2028; báo cáo SOC 2 Type 2 (Compliance at Zoho) | SOC 2 là báo cáo kiểm toán, không phải chứng chỉ; báo cáo do Zoho giữ và cung cấp cho khách hàng, nên hãy yêu cầu bản mới nhất thay vì chỉ dựa vào logo |
| HIPAA | Mục "SOC 2 + HIPAA Type 2" liệt kê Zoho CRM; trách nhiệm của Zoho giới hạn trong phạm vi Zoho đóng vai trò "Business Associate" (Compliance at Zoho) | HIPAA ở đây là kết quả kiểm tra của bên kiểm toán độc lập, không phải chứng nhận; kỳ kiểm toán ghi trên trang là 1/12/2023 đến 30/9/2024. HIPAA là luật Mỹ, không phải căn cứ tuân thủ ở Việt Nam |
| Tính năng HIPAA trong CRM | Quản trị viên đánh dấu trường chứa dữ liệu sức khỏe (tối đa 10 module, 25 trường mỗi module) và hạn chế riêng từng đường: API, xuất dữ liệu, chuyển sang ứng dụng Zoho và bên thứ ba (HIPAA Compliance with Zoho CRM) | Trang không nêu gói nào có tính năng này, hay áp dụng cho trung tâm dữ liệu nào; một số loại trường (lookup, autonumber) không đánh dấu được |
| Mã hóa trường | AES-256 ở lớp ứng dụng; Zoho khuyến nghị mạnh nhưng không bắt buộc, và việc đánh dấu trường HIPAA không tự mã hóa trường đó (FAQ HIPAA) | Trường mã hóa không dùng được trong bộ lọc nâng cao và tìm theo tiêu chí, không sắp xếp được, tìm kiếm chung chỉ khớp toàn văn; dữ liệu mã hóa chỉ lưu ở miền crm.zoho.com |
| BAA | Mẫu thỏa thuận BAA được gửi theo yêu cầu qua email | Trang không khẳng định Zoho sẽ ký BAA với mọi khách hàng; và BAA là khái niệm của luật HIPAA (Mỹ) |
| Xác thực và truy cập | Xác thực đa yếu tố (TOTP), giới hạn dải IP, phân quyền theo vai trò và hồ sơ quyền (Zoho CRM and Security) | Zoho nói rõ bảo mật là trách nhiệm chia sẻ: khách hàng phải tự bật và cấu hình |
| Phân quyền chi tiết và nhật ký | Trang giới thiệu gói Enterprise nêu quyền theo trường, quy tắc chia sẻ dữ liệu, nhật ký kiểm toán và mã hóa trường (trang Enterprise) | Đây là trang tiếp thị; không nói gói thấp hơn có hay không. Hãy kiểm tra trên gói bạn định mua |
| Thời hạn lưu nhật ký | Tài liệu HIPAA nói nhật ký kiểm toán lưu mặc định 60 ngày; bài "Zoho CRM and Security" nói nhật ký được lưu "tới ba năm" | Hai trang của Zoho không thống nhất. Hãy hỏi Zoho và tự xuất nhật ký định kỳ |
| Trung tâm dữ liệu | US, EU, IN, AU, JP, CA, SA (Data center for Zoho Account) | Không có Việt Nam. Một trang nói trung tâm dữ liệu được gán theo vị trí (địa chỉ IP), trang khác nói theo quốc gia chọn khi đăng ký; chúng tôi không xác nhận được mặc định cho tài khoản đăng ký từ Việt Nam |
| Sao lưu và xóa | Sao lưu đầy đủ hằng tuần, gia tăng hằng ngày, lưu 3 tháng; dữ liệu bị xóa khỏi cơ sở dữ liệu hoạt động ở lần dọn dẹp 6 tháng một lần, và khỏi bản sao lưu sau 3 tháng (Zoho Security FAQ) | Nghĩa là "xóa" không diễn ra ngay; cần tính đến khi trả lời yêu cầu xóa dữ liệu của khách hàng (nhận định của chúng tôi) |
| Truy cập của nhân viên Zoho và thông báo vi phạm | Nhân viên chỉ truy cập theo nhu cầu cần biết; khi Zoho là bên kiểm soát dữ liệu thì thông báo trong 72 giờ, khi là bên xử lý thì "không chậm trễ không cần thiết" (Zoho Security FAQ) | Với dữ liệu khách hàng trong CRM, Zoho thường là bên xử lý, tức không có số giờ cụ thể; hãy ghi thời hạn vào hợp đồng |
Cách đọc bảng này. Zoho có các kiểm soát kỹ thuật và chứng nhận mà một CRM đám mây nghiêm túc nên có, cùng một bộ tính năng riêng để đánh dấu và hạn chế dữ liệu sức khỏe. Nhưng nhiều tính năng quan trọng với dữ liệu nhạy cảm (mã hóa trường, quyền theo trường, nhật ký) phải được bật và cấu hình, có thể phụ thuộc gói, và các tài liệu có chỗ mâu thuẫn. Một logo chứng nhận không thay được việc bạn đọc kỹ cấu hình.
Hai câu hỏi pháp lý chúng tôi chưa thể kết luận
Đây là phần quan trọng nhất của bài, và cũng là phần chúng tôi cẩn trọng nhất. Chúng tôi đọc Nghị định 356/2025/NĐ-CP qua bản toàn văn đăng lại trên các trang tra cứu, không phải bản công báo.
1. Dùng CRM đám mây nước ngoài có phải là chuyển dữ liệu xuyên biên giới không?
Theo cách chúng tôi đọc, khả năng cao là có. Điều 17 khoản 1 coi việc lưu trữ dữ liệu cá nhân thu thập tại Việt Nam trên máy chủ ở nước ngoài hoặc nhà cung cấp đám mây nước ngoài là chuyển dữ liệu xuyên biên giới. Nếu vậy, Điều 18 yêu cầu lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới, nộp cho cơ quan có thẩm quyền trong 60 ngày kể từ ngày bắt đầu chuyển; cơ quan có thẩm quyền đánh giá trong 15 ngày; và theo Điều 20, hồ sơ phải được cập nhật định kỳ 6 tháng (toàn văn Nghị định 356/2025/NĐ-CP). Các trường hợp miễn ở Điều 17 khoản 3 (báo chí, dữ liệu đã công khai theo luật, tình huống khẩn cấp, quản lý nhân sự ở nước ngoài, một số trường hợp thực hiện hợp đồng, logistics, thanh toán, đặt phòng) không rõ ràng bao gồm việc lưu danh sách khách hàng trong CRM thông thường. Đây là cách đọc của chúng tôi, không phải hướng dẫn chính thức.
Điều này không có nghĩa là không được dùng Zoho hay CRM đám mây nước ngoài. Nó có nghĩa là bạn nên coi việc lập và nộp hồ sơ là một phần của dự án, và hỏi luật sư trước khi bắt đầu chuyển dữ liệu, vì thời hạn tính từ lúc bắt đầu chuyển. Zoho không có trung tâm dữ liệu tại Việt Nam trong danh sách chính thức, nên với Zoho, câu hỏi này khó tránh.
2. CRM đám mây nước ngoài có bị coi là "dịch vụ xử lý dữ liệu cá nhân" cần giấy chứng nhận không?
Điều 21 liệt kê các "dịch vụ xử lý dữ liệu cá nhân", gồm dịch vụ cung cấp, vận hành hệ thống, phần mềm tự động xử lý dữ liệu cá nhân thay mặt bên kiểm soát, và dịch vụ thu thập, xử lý dữ liệu qua website, ứng dụng hoặc phần mềm chăm sóc sức khỏe. Điều 22 và 24 đặt điều kiện cho tổ chức cung cấp loại dịch vụ này: được thành lập theo pháp luật Việt Nam, người đứng đầu bộ phận chuyên môn là công dân Việt Nam, thường trú tại Việt Nam, và có giấy chứng nhận do Bộ Công an cấp. Một nhà cung cấp phần mềm đám mây nước ngoài thường không có sẵn các điều kiện này (trừ khi có pháp nhân tại Việt Nam; chúng tôi không kiểm tra Zoho có pháp nhân như vậy hay không).
Chúng tôi không biết liệu một CRM đám mây thông thường có thuộc diện này hay không, và không tìm được hướng dẫn chính thức hay điều khoản chuyển tiếp trả lời câu hỏi đó. Các bản tóm tắt của EY và PwC chúng tôi đọc không bàn tới. Chúng tôi chỉ nêu câu hỏi, không đưa ra kết luận, và khuyên bạn hỏi luật sư chuyên về dữ liệu hoặc cơ quan chuyên trách trước khi chọn bất kỳ CRM đám mây nước ngoài nào cho dữ liệu y tế.
Ba điểm pháp lý liên quan:
- Doanh nghiệp nhỏ có được miễn không? Luật Bảo vệ dữ liệu cá nhân (Điều 38) cho doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được chọn thực hiện hoặc không một số nghĩa vụ (như đánh giá tác động và chỉ định bộ phận, nhân sự bảo vệ dữ liệu) trong 5 năm, nhưng không áp dụng khi xử lý dữ liệu nhạy cảm. Theo cách đọc của chúng tôi, cơ sở y tế xử lý dữ liệu sức khỏe nhiều khả năng không được hưởng ngoại lệ này; cần luật sư xác nhận.
- Thời hạn thông báo sự cố: trong bản Nghị định 356 chúng tôi đọc, thời hạn 72 giờ chỉ xuất hiện ở hai chỗ: dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng (Điều 8), và dữ liệu vị trí, sinh trắc học (Điều 29). Chúng tôi không thấy quy định tương ứng dành riêng cho dữ liệu sức khỏe trong Nghị định, và chưa đối chiếu Luật. Đừng giả định; hãy hỏi luật sư.
- Sự đồng ý: Điều 9 Luật Bảo vệ dữ liệu cá nhân yêu cầu sự đồng ý tự nguyện, rõ ràng, theo từng mục đích, và "im lặng" không được coi là đồng ý. Cách ghi nhận sự đồng ý trong CRM có trong bài dữ liệu sạch cho AI: 5 bước chuẩn bị dữ liệu khách hàng.
Cách giảm rủi ro khi dùng CRM với dữ liệu y tế
Các biện pháp dưới đây là khuyến nghị của chúng tôi dựa trên kinh nghiệm triển khai và tài liệu của Zoho, áp dụng được cho bất kỳ CRM nào.
- Lưu ít nhất có thể, và không lưu hồ sơ bệnh án. Chỉ đưa vào CRM những gì cần cho việc liên hệ, đặt lịch và chăm sóc: tên, liên hệ, lịch hẹn, dịch vụ quan tâm ở mức tối thiểu. Không lưu chẩn đoán, kết quả xét nghiệm, đơn thuốc, hình ảnh y khoa. Nếu cần liên kết, lưu mã hồ sơ trong CRM và giữ nội dung ở hệ thống quản lý bệnh án chuyên dụng. Theo kinh nghiệm của chúng tôi, nơi dữ liệu nhạy cảm dễ "trôi" vào CRM nhất là ô ghi chú tự do, vì nhân viên có xu hướng ghi lại cả tình trạng bệnh của người gọi. Hãy dùng danh sách chọn sẵn thay cho gõ tự do, và hướng dẫn nhân viên không ghi tình trạng bệnh vào ghi chú.
- Đánh dấu và hạn chế trường nhạy cảm. Trên Zoho, dùng thiết lập HIPAA để đánh dấu trường chứa dữ liệu sức khỏe và hạn chế API, xuất dữ liệu, chuyển sang bên thứ ba. Lưu ý tác dụng phụ: theo FAQ của Zoho, khi trường bị hạn chế, dữ liệu sẽ không được đẩy sang Zoho Desk, Campaigns, Recruit, và các báo cáo trong Zoho Analytics dựa trên trường đó sẽ bị xóa (FAQ HIPAA). Hãy thử trước khi bật.
- Cân nhắc mã hóa trường, và hiểu cái giá. Mã hóa trường làm khó tìm kiếm, lọc và sắp xếp (xem bảng trên). Chỉ mã hóa những trường thật sự nhạy cảm và thật sự cần lưu.
- Phân quyền tối thiểu. Mỗi vai trò chỉ thấy những gì cần để làm việc: lễ tân khác bác sĩ, bác sĩ khác quản lý. Giới hạn quyền xuất dữ liệu, có thể đặt riêng cho từng module trong cấu hình hồ sơ quyền của Zoho (Managing Profile Permissions), vì xuất file ra máy cá nhân là cách dữ liệu thoát khỏi mọi kiểm soát. Đây cũng chính là yêu cầu "phân quyền giới hạn truy cập" với dữ liệu nhạy cảm.
- Bật xác thực đa yếu tố và giới hạn IP. Zoho khuyến nghị TOTP và giới hạn dải IP, và nói rõ đây là việc của khách hàng. Với tài khoản quản trị, đây là mức tối thiểu.
- Xuất và xem nhật ký định kỳ. Vì hai trang của Zoho nói khác nhau về thời hạn lưu (60 ngày so với "tới ba năm"), cách an toàn là tự xuất nhật ký định kỳ (ví dụ hằng tháng) và lưu ở nơi bạn kiểm soát.
- Hợp đồng và thẩm định nhà cung cấp. Trước khi quyết định, hãy hỏi (qua đơn vị triển khai hoặc trực tiếp Zoho): báo cáo SOC 2 mới nhất; mẫu thỏa thuận xử lý dữ liệu; danh sách bên xử lý phụ; trung tâm dữ liệu thực tế của tài khoản; thời hạn xóa dữ liệu khi chấm dứt; thời hạn thông báo sự cố bằng số giờ. Ghi những điều này vào hợp đồng và lưu trong hồ sơ đánh giá tác động.
- Người phụ trách và quy trình sự cố. Chỉ định một người chịu trách nhiệm bảo vệ dữ liệu; có sẵn quy trình xử lý yêu cầu của khách hàng (xem, sửa, xóa) và kế hoạch xử lý sự cố: ai báo cho ai, trong bao lâu, ghi nhận ở đâu.
- Kiểm soát mọi kết nối. Mỗi tích hợp (email marketing, Zalo, tổng đài, công cụ AI) là một đường dữ liệu mới và có thể là một lần chuyển dữ liệu mới. Nếu nhân viên dán thông tin khách hàng vào chatbot để soạn tin nhắn, đó cũng là một đường rò rỉ; xem mẫu chính sách sử dụng AI nội bộ với mức dữ liệu "đỏ". Các tiêu chí bảo mật chung khi chọn phần mềm có trong bài tiêu chí bảo mật khi chọn CRM.
Khi nào Zoho CRM (hoặc CRM đám mây nước ngoài) phù hợp, khi nào không
Đây là khuyến nghị của chúng tôi, không phải kết quả nghiên cứu:
| Tình huống | Đánh giá của chúng tôi |
|---|---|
| Chỉ lưu thông tin liên hệ, lịch hẹn, nguồn khách và dịch vụ quan tâm ở mức tối thiểu; đã làm hồ sơ đánh giá tác động và chuyển dữ liệu xuyên biên giới; cấu hình đầy đủ như trên | Có thể phù hợp. Cần luật sư xác nhận hai câu hỏi ở phần pháp lý |
| Lưu thông tin sức khỏe chi tiết hơn (tình trạng, liệu trình điều trị) trong các trường của CRM | Cân nhắc kỹ: dữ liệu nhạy cảm, cần đánh dấu trường, phân quyền, mã hóa và hồ sơ pháp lý đầy đủ; nên hỏi luật sư trước |
| Dùng CRM làm hồ sơ bệnh án hoặc nơi lưu kết quả xét nghiệm, hình ảnh y khoa | Không khuyên dùng bất kỳ CRM nào cho mục đích này. Hồ sơ bệnh án có chế độ riêng theo Luật Khám bệnh, chữa bệnh |
| Tổ chức chịu yêu cầu riêng về hạ tầng hoặc lưu trữ trong nước | Cần kiểm tra yêu cầu cụ thể trước; chúng tôi không đánh giá nhóm này |
CRM nội địa hay tại chỗ thì sao? Giải pháp đặt tại Việt Nam có thể giúp đơn giản hóa phần chuyển dữ liệu xuyên biên giới, nhưng không tự động an toàn hơn: các vụ tấn công bệnh viện nêu ở trên liên quan đến hệ thống tại chỗ, và chúng tôi không có dữ liệu so sánh hai mô hình. Hãy so sánh theo cùng một danh sách câu hỏi (chứng nhận, báo cáo kiểm toán, mã hóa, phân quyền, nhật ký, sao lưu, xóa dữ liệu, thông báo sự cố), thay vì chỉ theo nơi đặt máy chủ.
Câu hỏi thường gặp
Zoho có "tuân thủ HIPAA" không, và điều đó có đủ cho Việt Nam không?
Zoho có mục SOC 2 + HIPAA liệt kê Zoho CRM và có tính năng hỗ trợ khách hàng dùng CRM phù hợp với HIPAA, nhưng chính trang của Zoho mô tả HIPAA là kết quả kiểm tra của bên kiểm toán chứ không phải chứng nhận, và trách nhiệm của Zoho giới hạn trong vai trò "Business Associate". HIPAA là luật Mỹ, không thay cho việc tuân thủ luật Việt Nam.
Zoho có trung tâm dữ liệu ở Việt Nam không?
Trong danh sách chính thức chúng tôi đọc (Mỹ, châu Âu, Ấn Độ, Úc, Nhật, Canada, Ả Rập Xê Út) thì không. Trung tâm dữ liệu mặc định cho tài khoản từ Việt Nam thì chúng tôi không xác nhận được; hãy kiểm tra tên miền đăng nhập và hỏi Zoho.
Có bắt buộc bật mã hóa trường không?
Không bắt buộc theo tài liệu của Zoho, chỉ được khuyến nghị mạnh. Với dữ liệu sức khỏe, chúng tôi khuyên cân nhắc nghiêm túc, nhưng cần hiểu các hạn chế về tìm kiếm, lọc và sắp xếp.
Phòng khám nhỏ có phải làm hồ sơ đánh giá tác động không?
Theo cách đọc của chúng tôi, ngoại lệ cho doanh nghiệp nhỏ không áp dụng khi xử lý dữ liệu nhạy cảm, nên nhiều khả năng là có. Đây là điểm cần luật sư xác nhận.
Nếu bị lộ dữ liệu thì phải báo trong bao lâu?
Chúng tôi chưa xác nhận được thời hạn dành riêng cho dữ liệu sức khỏe. Thời hạn 72 giờ trong Nghị định 356 mà chúng tôi đọc được nêu cho dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng, tín dụng và cho dữ liệu vị trí, sinh trắc học. Hãy hỏi luật sư và ghi thời hạn thông báo của nhà cung cấp vào hợp đồng.
Có nên dùng AI trên dữ liệu khách hàng y tế không?
Chỉ khi đã có chính sách rõ ràng và dữ liệu đã được phân loại. Dữ liệu sức khỏe thuộc mức "đỏ" trong mẫu chính sách một trang của chúng tôi: không đưa vào công cụ AI khi chưa có phê duyệt.
Kết: câu hỏi đúng là "chúng ta đang lưu gì, ở đâu, ai thấy, và có hồ sơ pháp lý chưa"
Zoho công bố các chứng nhận và kiểm soát kỹ thuật phù hợp với một CRM đám mây nghiêm túc, cùng một bộ tính năng riêng cho dữ liệu sức khỏe. Nhưng phần lớn các kiểm soát đó cần bạn bật và cấu hình, các tài liệu của Zoho có chỗ mâu thuẫn, và pháp luật Việt Nam về dữ liệu nhạy cảm và chuyển dữ liệu ra nước ngoài còn hai điểm chúng tôi chưa thể kết luận. Vì vậy câu trả lời trung thực là "một phần, có điều kiện": lưu ít dữ liệu nhất, không lưu hồ sơ bệnh án, cấu hình chặt, làm hồ sơ pháp lý và hỏi luật sư trước khi chuyển dữ liệu.
Nếu bạn muốn rà soát cách một CRM đang được dùng trong cơ sở của mình (loại dữ liệu đang lưu, phân quyền, nhật ký, tích hợp) hoặc thiết kế cấu hình bảo mật trước khi triển khai, đội ngũ Phanmembiz có thể cùng bạn thực hiện, và chúng tôi sẽ nói thẳng nếu một phương án không phù hợp với bạn.
