PHẦN IV — QUY TRÌNH LÀM VIỆC, AN TOÀN, PHÁP LÝ & KAIZEN

📌 Phần này là "tấm lưới an toàn" của bạn. Dù bạn dùng Claude giỏi đến đâu, nếu bỏ qua quy trình kiểm tra và pháp lý — một sai sót có thể gây thiệt hại tài chính, pháp lý, và uy tín. Đọc kỹ, in checklist, dán bàn.

---

4.1 Quy trình 7 bước bắt buộc

Áp dụng cho mọi task quan trọng (output dài hơn 1 trang, hoặc task ảnh hưởng đến quyết định/khách hàng).

Bước 1 — Xác định mục tiêu

Trước khi gõ prompt, tự hỏi:

• Mục tiêu gì? (Không phải "làm report" — mà "giúp CEO quyết định X")

• Ai đọc output này? (CEO Vagataba, khách cao tuổi, hay team Sales nội bộ — tone khác nhau hoàn toàn)

• Format gì? (Chat ngắn, file docx, file xlsx, hay bảng)

• Deadline khi nào?

⚠️ Bỏ qua bước này → 80% case phải làm lại vì sai mục tiêu từ đầu.

Bước 2 — Chuẩn bị data ("Reality Pack")

Liệt kê những gì Claude cần biết:

• Số liệu liên quan (doanh thu, budget, KPI, tồn kho, giá…)

• Ràng buộc (deadline, ngân sách, nhân sự, chính sách Vagataba, pháp lý TPCN — xem §4.3)

• Bài học/context (lần trước làm tương tự thì sao? thứ gì đã fail?)

Template Reality Pack nhanh:

Context: \[1-2 câu mô tả tình huống\] Số liệu: \[những con số quan trọng\] Ràng buộc: \[giới hạn cần biết — pháp lý, budget, deadline\] Task: \[yêu cầu cụ thể\] Format output: \[loại file, độ dài, tone\]

Bước 3 — Chọn đúng công cụ

Bước 4 — Ra lệnh đúng cấu trúc

Dùng một trong các framework ở 03_Nghe_Thuat_Viet_Prompt.md §3.5, phù hợp loại task. Cung cấp ví dụ mẫu nếu cần tone cụ thể.

Bước 5 — Prompt theo vòng ngắn (KHÔNG giao task dài một lần)

❌ Sai: "Tạo cho tôi kế hoạch marketing cả quý, đầy đủ mọi thứ."

✅ Đúng:

• Lần 1: "Tạo outline kế hoạch marketing Q2 — chỉ tiêu đề + 1 câu mô tả mỗi phần."

• Duyệt hoặc yêu cầu chỉnh outline.

• Lần 2: "OK outline. Giờ chi tiết hoá Phần 1 — Tháng 4."

• Tiếp tục theo từng phần.

Lý do: Claude làm task ngắn tốt hơn task dài. Bạn cũng kiểm soát được từng bước. Xem thêm sai lầm #3 tại 00_Tong_Quan.md.

Bước 6 — Tự kiểm tra output (3 lớp check)

Bước 7 — Lưu prompt tốt & chia sẻ

Khi prompt hoạt động tốt:

1. Copy vào file note phòng ban (Google Docs / Notion / Drive Vagataba).

1. Ghi rõ: dùng cho task gì, kết quả ra sao, model nào.

1. Chia sẻ trong team (hoặc đưa cho Trưởng phòng xem xét biến thành Skill nội bộ — xem 00_Tong_Quan.md).

---

4.2 Quy tắc an toàn chung khi dùng Claude & Tuân thủ Pháp luật Bảo mật, Kế toán (NĐ 13/2023 & NĐ 174/2016)

Để bảo vệ quyền riêng tư của khách hàng và tuân thủ các quy định pháp lý của Việt Nam, Vagataba áp dụng các quy chuẩn bảo mật nghiêm ngặt sau:

🛡️ Tuân thủ Nghị định 13/2023/NĐ-CP về Bảo vệ Dữ liệu Cá nhân (PII & Dữ liệu y khoa nhạy cảm)

• Cấm tuyệt đối paste dữ liệu thô: Nghiêm cấm hoàn toàn hành vi paste hoặc upload trực tiếp dữ liệu thô chưa ẩn danh của khách hàng (bao gồm Họ tên, Số điện thoại, Địa chỉ chính xác, Bệnh lý/Bệnh án/Triệu chứng cơ thể) lên Claude phiên bản công cộng.
• Quy chế Ẩn danh hóa (Pseudonymization) 3 năm: Toàn bộ dữ liệu cá nhân, thông tin y khoa, ghi âm cuộc gọi CRM và lịch sử chat chăm sóc khách hàng phải được hệ thống tự động ẩn danh hóa hoàn toàn sau 3 năm kể từ ngày phát sinh giao dịch cuối cùng của khách hàng đó.
• Quy trình Báo cáo Khẩn cấp khi phát hiện rò rỉ dữ liệu (SLA 30PV):

1. Bước 1 (Phát hiện): Ngay khi phát hiện có dấu hiệu rò rỉ dữ liệu (lỗi webhook chuyển dữ liệu ra ngoài, nhân viên vô tình gửi file chưa ẩn danh vào nhóm công cộng, v.v.), nhân sự phát hiện phải lập tức ghi nhận sự việc.
2. Bước 2 (Báo cáo khẩn): Báo cáo khẩn cấp qua kênh nội bộ cho Trưởng nhóm CRM/Hệ thống CAS (R19) và Trưởng phòng Vận hành OM (R01) trong vòng tối đa 30 phút (tuân thủ quy tắc 30-phút Vàng 30PV).
3. Bước 3 (Đóng băng & Khắc phục): CAS tiến hành khóa tạm thời cổng API liên quan hoặc thu hồi các quyền truy cập trái phép; phối hợp với OM báo cáo lên CEO và lập biên bản xử lý kỹ thuật.

📁 Tuân thủ Nghị định 174/2016/NĐ-CP về Lưu trữ Kế toán và Vận hành

• Lưu trữ chứng từ gốc $\ge 10$ năm: Toàn bộ chứng từ kế toán gốc, phiếu xuất/nhập kho, vận đơn giao nhận (DO) phải được lưu trữ an toàn (vật lý và kỹ thuật số) tối thiểu 10 năm.
• Lưu trữ vĩnh viễn: Sổ cái tổng hợp và Báo cáo tài chính (BCTC) năm bắt buộc lưu trữ vĩnh viễn.
• Lưu trữ Video QC đóng gói $\ge 10$ năm: Toàn bộ video quay quá trình kiểm soát chất lượng (QC) đóng gói sản phẩm tại kho vận cũng phải được lưu trữ kỹ thuật số tối thiểu 10 năm để làm bằng chứng đối chiếu khi có khiếu nại hoặc thanh tra thuế.

KHÔNG paste vào Claude:

• Mật khẩu, chữ ký số, OTP.
• Số tài khoản ngân hàng + CVV.
• Dữ liệu khách hàng kèm CMND/CCCD.
• Bí mật kinh doanh chưa công bố (chiến lược M&A, công thức sản phẩm mới).
• Email nội bộ chứa thông tin nhạy cảm.

Phân loại data 3 mức

Quy tắc anonymize trước khi upload

Khi cần Claude phân tích data có thông tin khách:

1. Đổi tên khách → "KH001", "KH002"...
2. Che SĐT → "090123"
3. Bỏ CMND/CCCD hoàn toàn
4. Giữ lại: tỉnh/thành, giá trị đơn, ngày, trạng thái — đủ để phân tích

---

4.3 Quy định pháp lý TPCN bán Facebook — ĐỌC KỸ

Văn bản pháp luật liên quan

Các vi phạm phổ biến — TRÁNH TUYỆT ĐỐI

1. Quảng cáo TPCN như thuốc chữa bệnh (dùng "chữa", "trị", "khỏi", "đặc trị").

1. Quảng cáo quá công dụng vượt bản công bố SP.

1. Không có câu "Thực phẩm này không phải là thuốc…" — bắt buộc hiển thị dễ nhìn.

1. Thiếu giấy xác nhận nội dung quảng cáo (cho nội dung chạy ads).

1. Mượn hình ảnh bác sĩ/bệnh viện trái phép.

1. Cam kết hiệu quả 100%, tuyệt đối, cam kết khỏi.

1. So sánh trực tiếp với thuốc hoặc SP đối thủ cụ thể.

Mức phạt

Theo Nghị định 128/2022/NĐ-CP:

• Cá nhân vi phạm nội dung QC: 20-50 triệu đồng.
• Tổ chức vi phạm: đến 100 triệu đồng.
• Biện pháp bổ sung: buộc gỡ bỏ QC + đình chỉ hoạt động.
• Facebook có thể khoá vĩnh viễn tài khoản ads.

Checklist trước khi push content ra Facebook

• ☐ Đã có giấy xác nhận nội dung quảng cáo cho content này (nếu là ads).

• ☐ Content KHÔNG chứa từ cấm (chữa, trị, khỏi, 100%, cam kết…).

• ☐ Content CÓ disclaimer "Thực phẩm này không phải là thuốc…".

• ☐ Content KHÔNG vượt công dụng đã công bố của SP.

• ☐ Hình ảnh KHÔNG mượn trái phép bác sĩ/bệnh viện.

• ☐ Từ "Facebook" viết đúng (không viết tắt).

• ☐ (Ads) Target không nhắm trẻ em dưới độ tuổi quy định.

💡 Liên hệ Guardrails: Xem 03_Nghe_Thuat_Viet_Prompt.md §3.11 cho cách nhúng guardrails pháp lý trực tiếp vào prompt và Project Instructions.

---

4.4 Quy định riêng cho Sales gọi điện (TPCN telesale)

⚠️ Quan trọng với Sales + DV vì làm việc qua điện thoại hàng ngày.

Quy định pháp lý

1. Luật Bảo vệ quyền lợi người tiêu dùng 2023 — không được quấy rối người tiêu dùng qua điện thoại.

1. Nghị định 98/2020/NĐ-CP — xử phạt telesale sai sự thật.

1. Luật An toàn Thông tin mạng 2015 — xử lý SĐT khách hàng phải có đồng ý.

Quy tắc vận hành telesale Vagataba

Về giờ gọi:

• 🟢 8h-12h, 14h-18h: OK
• 🟡 18h-20h: phải hỏi "có tiện nghe không"
• 🔴 Trước 8h / sau 20h30 / giờ ăn cơm trưa: TRÁNH (trừ khách yêu cầu)
• 🔴 Ngày nghỉ lễ, chủ nhật: hạn chế (chỉ gọi nếu khách đã hẹn trước)

Về số lần gọi:

• Lần 1: gọi sau lead 1-12h (càng sớm càng chốt cao)
• Lần 2: nếu lần 1 không nghe — sau 4 giờ
• Lần 3: sau 24 giờ (giờ khác với 2 lần trước)
• Sau 3 lần không liên lạc được: STOP, chuyển vào "list warm", nhắn SMS
• Khách đã nói rõ "tôi không quan tâm" → TUYỆT ĐỐI không gọi lại trong 6 tháng

Về nội dung nói:

• KHÔNG hứa SP chữa khỏi bệnh
• KHÔNG hứa hoàn tiền mà chính sách không có
• KHÔNG giả mạo tổ chức ("em gọi từ Bộ Y tế", "em là bác sĩ BV Chợ Rẫy")
• KHÔNG lấy thông tin thẻ tín dụng qua điện thoại
• Phải tự xưng đúng: "em từ Vagataba" / "em từ công ty phân phối Protein Bách Niên Kiện"
• Khách hỏi pháp lý (mã số thuế, GPKD, giấy công bố) → sẵn sàng cung cấp qua Zalo

Về ghi âm cuộc gọi:

• Nếu ghi âm → phải thông báo khách đầu cuộc gọi
• Câu chuẩn: "Dạ cuộc gọi này có thể được ghi âm để Vagataba nâng cao chất lượng dịch vụ, bác đồng ý cho em tư vấn ạ?"
• Khách không đồng ý: tắt ghi âm, vẫn tư vấn bình thường
• File ghi âm: lưu ≥ 6 tháng, mã hóa, chỉ người được phân quyền truy cập
• KHÔNG upload ghi âm có thông tin cá nhân lên Claude — chỉ upload transcript đã anonymize

Về data khách hàng sau cuộc gọi:

• Lưu SĐT, tên, địa chỉ vào CRM/Excel nội bộ
• KHÔNG share danh sách khách ra bên ngoài
• Khách yêu cầu xoá thông tin — phải xoá trong 30 ngày
• Data sensitive (bệnh nền, thuốc đang dùng) → chỉ nhân viên trực tiếp + dược sĩ truy cập

Mức phạt telesale vi phạm

• Quấy rối người tiêu dùng: phạt 1-5 triệu/lần
• Cung cấp thông tin sai về SP qua điện thoại: 20-100 triệu
• Lộ thông tin khách hàng: 50-200 triệu + bồi thường

---

4.5 Các giấy tờ Vagataba cần có sẵn

1. Giấy chứng nhận đăng ký kinh doanh (hộ/doanh nghiệp).

1. Giấy chứng nhận cơ sở đủ điều kiện ATTP (nếu có kho).

1. Giấy công bố sản phẩm Protein Bách Niên Kiện (từ nhà sản xuất FOBIC).

1. Giấy xác nhận nội dung quảng cáo (Cục ATTP — cho từng nội dung ads quan trọng).

1. Hợp đồng phân phối/bán lẻ với nhà sản xuất.

1. Hoá đơn VAT nhập hàng từng đợt.

1. Biên bản kiểm nghiệm (nếu thuộc diện).

Giữ file gốc + file quét trong Google Drive được tổ chức — khi thanh tra có ngay.

---

4.6 Kaizen — cơ chế cải tiến liên tục

Kaizen (改善) là triết lý cải tiến liên tục. Tại Vagataba, Kaizen không phải khẩu hiệu — là cơ chế bắt buộc giúp cả team giỏi hơn mỗi ngày.

Ba thói quen Kaizen bắt buộc

🔍 Thói quen 1 — Hỏi ngược sau mỗi output quan trọng

Ngay sau khi nhận output — trước khi dùng.

1\. "Output này dựa trên giả định gì? Giả định nào có thể sai?" 2\. "Nếu tôi làm ngược lại đề xuất này, kết quả sẽ thế nào?" 3\. "Pre-mortem: nếu kế hoạch này thất bại, lý do #1 là gì?"

📝 Thói quen 2 — Review cuối phiên (2 phút)

Trước khi đóng chat.

• Prompt nào hôm nay cho output tốt nhất? → Lưu làm template.

• Prompt nào phải sửa nhiều lần? → Phân tích tại sao.

• Có phát hiện trick mới? → Ghi vào KB cá nhân.

🔬 Thói quen 3 — Output sai → phân tích nguyên nhân

Kaizen cuối tuần — 30 phút (cấp team Vagataba)

Mỗi tuần, team dành 30 phút:

1. Chia sẻ prompt hay nhất tuần.

1. Chia sẻ case Claude cho output tệ — tại sao?

1. Cập nhật Prompt Library Vagataba (PL_B_Templates_Prompts.md) và các Skills nội bộ.

---

4.7 Hai checklist bắt buộc — in ra dán bàn

✅ Checklist TRƯỚC KHI gửi prompt cho Claude

• ☐ Đã chọn đúng model (Haiku / Sonnet / Opus)? Xem 02_Lam_Quen_Voi_Claude.md §2.3.

• ☐ Đã nêu rõ: cần gì, cho ai, format gì?

• ☐ Đã cung cấp data thật (không để Claude đoán)?

• ☐ Đã giới hạn rõ scope (kênh, thời gian, budget, ràng buộc pháp lý TPCN)?

• ☐ Task lớn → đã yêu cầu outline trước khi build?

• ☐ (Content bán hàng) Đã nêu rõ quy định: không dùng từ cấm, phải có disclaimer?

• ☐ Prompt đã đối chiếu với checklist chất lượng? Xem 03_Nghe_Thuat_Viet_Prompt.md §3.12.

✅ Checklist SAU KHI nhận output từ Claude

• ☐ Đã đọc kỹ toàn bộ (không chỉ skim)?

• ☐ Đã kiểm tra số liệu — có gì Claude tự bịa?

• ☐ Output có phù hợp với thực tế Vagataba?

• ☐ (Content TPCN) Đã check: không có từ cấm, có disclaimer đầy đủ?

• ☐ Đã hỏi ngược "Giả định nào có thể sai?"

• ☐ Nếu output là file cho NV dùng → đã thử từ góc độ NV chưa?

---

4.8 Mười quy tắc vàng — in ra dán tường

1. Claude là bản nháp — bạn là người ký. Đọc lại, sửa, chịu trách nhiệm.

1. Context nhiều → Output tốt. Dán data thật thay vì mô tả.

1. Chọn đúng model. Haiku lặp lại / Sonnet hằng ngày / Opus quan trọng.

1. Outline trước cho task lớn. Sửa outline 5 phút hơn sửa final 5 tiếng.

1. Hỏi ngược sau output quan trọng. "Giả định nào có thể sai?"

1. TPCN: zero tolerance với từ cấm. Mọi caption/ad check 2 lần.

1. Verify số liệu cụ thể trong output. Claude bịa số — bạn verify.

1. Không paste data nhạy cảm. Password, CMND khách, bí mật kinh doanh.

1. Prompt hay → lưu + chia sẻ. Prompt Library phòng ban / đóng gói Skill.

1. Kaizen mỗi tuần 30 phút. Team nào không cải tiến — team đó tụt hậu.

Bảng mức tin cậy theo loại task — "Tin bao nhiêu?"

(Nguồn: Cross-Cutting Trust Calibration, nghiên cứu 100.000 cuộc hội thoại AI)

💡 Quy tắc nhớ: Task mức 🟢 sai → sửa nhanh, ít hậu quả. Task mức 🔴 sai → thiệt hại tiền/pháp lý/uy tín. Phân biệt rõ → dùng AI an toàn.

---

4.9 Bài kiểm tra trắc nghiệm nhanh (Quiz) — Tier 1 Nền tảng

📝 Mục tiêu: Đo lường mức độ nắm bắt quy trình an toàn, viết prompt cơ bản và tuân thủ pháp lý của bạn sau khi hoàn thành Tier 1. Hãy tự trả lời và đối chiếu đáp án ở cuối để tự chấm điểm (mỗi câu đúng đạt 2 điểm, đạt từ 8/10 điểm trở lên là ĐẠT CHUẨN).

Câu 1: Khi Claude đưa ra một bảng tính toán hoặc phân tích số liệu tài chính/tồn kho, con số nào bạn có thể tin cậy sử dụng ngay mà không cần đối chiếu lại?

• A. Các con số liên quan đến tổng tiền COD hoàn trả bưu điện.
• B. Các phần trăm biên lợi nhuận quảng cáo khi dán từ Facebook Ads.
• C. Các số lượng lon sữa thực tế xuất kho theo nguyên tắc FEFO.
• D. Không có con số nào cả. Bạn bắt buộc phải tự đối chiếu lại với hệ thống CRM/Odoo thật trước khi ký duyệt hoặc sử dụng thực tế.

Câu 2: Từ ngữ/Cụm từ nào sau đây được phép xuất hiện trong nội dung bài viết quảng cáo Protein Bách Niên Kiện chuẩn bị chạy Facebook Ads?

• A. "Điều trị dứt điểm đau nhức xương khớp chỉ sau 1 tuần sử dụng".
• B. "Sản phẩm hỗ trợ bổ sung dinh dưỡng chuyên biệt cho người có vấn đề cơ xương khớp".
• C. "Cam kết khỏi bệnh 100%, không hiệu quả hoàn lại tiền".
• D. "Thuốc đặc trị viêm khớp gối nhập khẩu chính hãng Vagataba".

Câu 3: Trước khi tải một danh sách khách hàng lên Claude để phân tích xu hướng mua hàng, thao tác bảo mật dữ liệu nào là BẮT BUỘC?

• A. Cứ tải lên bình thường vì Claude cam kết không chia sẻ dữ liệu.
• B. Chỉ cần xóa cột CMND/CCCD, các cột Tên và SĐT vẫn giữ nguyên để đối chiếu.
• C. Ẩn danh hoàn toàn (Anonymize): đổi tên khách thành KH001, KH002; che SĐT thành 090123; loại bỏ hoàn toàn các trường nhạy cảm như CMND hay tài khoản ngân hàng.
• D. Đổi đuôi file Excel từ .xlsx sang .csv là tự động bảo mật.

Câu 4: Khi giao cho Claude một nhiệm vụ lớn (ví dụ: Soạn thảo lịch trình đào tạo chi tiết 30 ngày hoặc lập kế hoạch Marketing), cách làm nào mang lại kết quả tốt nhất?

• A. Viết một prompt cực dài chứa tất cả mọi yêu cầu từ A đến Z để Claude làm một lượt.
• B. Prompt theo vòng ngắn: Yêu cầu Claude lên outline khung trước -> duyệt và chỉnh outline -> yêu cầu Claude triển khai chi tiết từng phần nhỏ của outline.
• C. Không cần lên outline, cứ để Claude tự biên tự diễn rồi mình copy sửa sau.
• D. Chia nhỏ task nhưng không duyệt outline mà yêu cầu làm nhiều option khác nhau cùng lúc.

Câu 5: Tại sao trong cơ chế Kaizen, Ban Điều Hành khuyên bạn nên dùng quy tắc "Hỏi ngược" (như câu: "Giả định nào trong kế hoạch này có thể sai? Pre-mortem nếu kế hoạch thất bại?") sau khi nhận một đề xuất từ Claude?

• A. Để kiểm tra xem Claude có bị lỗi hệ thống hay không.
• B. Vì Claude rất lười biếng, nếu không hỏi ngược nó sẽ không làm tiếp.
• C. Để phá vỡ tính "xu nịnh" (agreeable) của AI. Claude có xu hướng đồng ý và khen ngợi giả định của người dùng; việc hỏi ngược giúp phát hiện các điểm mù (blind spots) và rủi ro tiềm ẩn trước khi thực hiện.

---

🔑 Xem đáp án & tự chấm điểm

• Câu 1: D (AI giỏi chữ hơn giỏi số và có thể bịa số - hallucination. Luôn luôn verify!).
• Câu 2: B (Các câu A, C, D vi phạm nghiêm trọng quy định pháp luật TPCN và sẽ bị khóa tài khoản Ads hoặc phạt tiền).
• Câu 3: C (Tuân thủ nghiêm ngặt chính sách bảo mật dữ liệu PII của Vagataba).
• Câu 4: B (AI làm task ngắn tốt hơn task dài. Sửa outline 5 phút tốt hơn sửa bài viết 5 tiếng).
• Câu 5: C (Tránh bẫy tự tin sai lầm khi dùng AI làm cố vấn chiến lược).

---

Nội dung Phần IV — Quy trình làm việc, An toàn, Pháp lý & Kaizen. Cập nhật 05/2026. Tham chiếu: 02_Lam_Quen_Voi_Claude.md (làm quen) | 03_Nghe_Thuat_Viet_Prompt.md (viết prompt) | 00_Tong_Quan.md (sai lầm) | 12_Claude_Projects.md (Projects) | 00_Tong_Quan.md (Skills)