Security vulnerability management and patching policy
PART I - PURPOSE AND SCOPE
Article 1. Purpose
1.1. Chính sách này quy định cách thức Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (thương hiệu HiTechCloud, sau đây gọi là “HiTechCloud”) nhận diện, đánh giá, xử lý và theo dõi lỗ hổng bảo mật trên toàn bộ hạ tầng, nền tảng và ứng dụng do HiTechCloud quản lý.
1.2. Mục tiêu của Chính sách là giảm thiểu bề mặt tấn công và rút ngắn thời gian tồn tại của lỗ hổng trong hệ thống.
Điều 2. Phạm vi áp dụng và loại trừ
2.1. Phạm vi bao gồm: hệ điều hành máy chủ, phần mềm ảo hoá, thiết bị mạng và thiết bị bảo mật, cơ sở dữ liệu, phần mềm trung gian, bảng điều khiển quản trị, mã nguồn ứng dụng nội bộ, thư viện phụ thuộc của bên thứ ba và ảnh vùng chứa (container image).
2.2. Chính sách không áp dụng đối với mã nguồn, ứng dụng, phần mở rộng (plugin), giao diện (theme) và cấu hình do Khách hàng tự cài đặt và quản trị trên tài nguyên được cấp. Trách nhiệm vá lỗi trong phạm vi này thuộc về Khách hàng theo Phần VIII.
PHẦN II – NHẬN DIỆN VÀ QUÉT LỖ HỔNG ĐỊNH KỲ
Điều 3. Tần suất quét
3.1. HiTechCloud thực hiện quét lỗ hổng tự động toàn bộ hạ tầng tối thiểu 01 (một) lần mỗi tháng.
3.2. HiTechCloud thực hiện quét cấu hình sai lệch so với chuẩn cường hoá tối thiểu 01 (một) lần mỗi quý, và quét ngay lập tức khi có cảnh báo lỗ hổng nghiêm trọng được công bố rộng rãi.
Điều 4. Kiểm tra mã nguồn và nguồn cảnh báo
4.1. Mã nguồn ứng dụng nội bộ được kiểm tra bằng công cụ phân tích tĩnh (SAST) trong quy trình tích hợp liên tục và kiểm tra thư viện phụ thuộc (SCA) trước mỗi lần phát hành. Ảnh vùng chứa được quét trước khi đưa vào kho ảnh sản xuất.
4.2. HiTechCloud theo dõi thường xuyên các nguồn cảnh báo uy tín, bao gồm thông báo của nhà cung cấp phần mềm, cơ sở dữ liệu lỗ hổng quốc tế (CVE/NVD), cảnh báo của cơ quan nhà nước có thẩm quyền và cộng đồng nghiên cứu bảo mật.
Điều 5. Sổ đăng ký lỗ hổng
5.1. Kết quả quét được tập hợp vào Sổ đăng ký lỗ hổng, ghi nhận: mã lỗ hổng, tài sản bị ảnh hưởng, điểm CVSS, mức độ ưu tiên, người chịu trách nhiệm xử lý, thời hạn xử lý và trạng thái.
PHẦN III – ĐÁNH GIÁ MỨC ĐỘ THEO THANG CVSS
Điều 6. Phân loại mức độ
6.1. HiTechCloud sử dụng Hệ thống chấm điểm lỗ hổng phổ biến (Common Vulnerability Scoring System – CVSS) phiên bản 3.1 trở lên làm cơ sở phân loại:
- Nghiêm trọng (Critical): từ 9,0 đến 10,0;
- Cao (High): từ 7,0 đến 8,9;
- Trung bình (Medium): từ 4,0 đến 6,9;
- Thấp (Low): từ 0,1 đến 3,9.
Điều 7. Điều chỉnh theo bối cảnh
7.1. Điểm CVSS cơ sở được điều chỉnh theo bối cảnh thực tế của HiTechCloud dựa trên các yếu tố: khả năng tiếp cận từ Internet, sự tồn tại của mã khai thác công khai, mức độ trọng yếu của tài sản, phạm vi dữ liệu bị ảnh hưởng và hiệu lực của biện pháp bù đắp hiện có.
7.2. Lỗ hổng đang bị khai thác trong thực tế (actively exploited) được nâng lên mức Nghiêm trọng bất kể điểm CVSS cơ sở và được xử lý theo quy trình vá khẩn cấp tại Phần V.
PHẦN IV – CAM KẾT THỜI GIAN VÁ LỖI
Điều 8. Thời hạn vá theo mức độ
8.1. Lỗ hổng mức Nghiêm trọng: áp dụng biện pháp bù đắp ngay lập tức và hoàn tất vá trong thời hạn từ 24 (hai mươi bốn) đến 72 (bảy mươi hai) giờ kể từ thời điểm xác nhận, tuỳ mức độ rủi ro và tính sẵn có của bản vá chính thức.
8.2. Lỗ hổng mức Cao: hoàn tất vá trong thời hạn 07 (bảy) ngày kể từ thời điểm xác nhận.
8.3. Lỗ hổng mức Trung bình: hoàn tất vá trong thời hạn 30 (ba mươi) ngày. Lỗ hổng mức Thấp: hoàn tất vá trong thời hạn 90 (chín mươi) ngày hoặc gộp vào chu kỳ bảo trì định kỳ gần nhất.
Điều 9. Ngoại lệ và cách tính thời hạn
9.1. Trường hợp không thể vá trong thời hạn quy định do nhà cung cấp chưa phát hành bản vá hoặc do rủi ro gián đoạn dịch vụ, HiTechCloud phải triển khai biện pháp bù đắp có hiệu lực, ghi nhận ngoại lệ có thời hạn và trình Ban An toàn Thông tin phê duyệt. Ngoại lệ được rà soát tối thiểu 30 (ba mươi) ngày một lần.
9.2. Thời gian vá được tính từ thời điểm HiTechCloud xác nhận lỗ hổng có ảnh hưởng đến hệ thống của mình, không tính từ thời điểm lỗ hổng được công bố trên thế giới.
PHẦN V – QUY TRÌNH VÁ KHẨN CẤP
Điều 10. Điều kiện kích hoạt và thông báo
10.1. Vá khẩn cấp được kích hoạt khi lỗ hổng mức Nghiêm trọng có khả năng bị khai thác từ xa không cần xác thực, hoặc khi có bằng chứng lỗ hổng đang bị khai thác nhắm vào hạ tầng của HiTechCloud.
10.2. Trong tình huống vá khẩn cấp, HiTechCloud được quyền thực hiện bảo trì mà không tuân thủ thời hạn thông báo bảo trì thông thường quy định tại Chính sách Bảo mật Hệ thống Thông tin. Thông báo được gửi tới Khách hàng bị ảnh hưởng sớm nhất có thể trước hoặc ngay sau khi thực hiện, kèm giải trình lý do khẩn cấp.
Điều 11. Kiểm thử, quay lui và báo cáo
11.1. Bản vá khẩn cấp vẫn phải được kiểm thử tối thiểu trên môi trường tiền sản xuất và phải có phương án quay lui. Trường hợp bản vá gây sự cố, quy trình ứng phó sự cố được kích hoạt ngay lập tức.
11.2. Sau khi hoàn tất vá khẩn cấp, HiTechCloud lập báo cáo tóm tắt gửi Ban An toàn Thông tin trong 03 (ba) ngày làm việc và cập nhật kết quả vào Sổ đăng ký lỗ hổng.
PHẦN VI – KIỂM THỬ XÂM NHẬP VÀ ĐÁNH GIÁ ĐỘC LẬP
Điều 12. Kiểm thử xâm nhập
12.1. HiTechCloud tổ chức kiểm thử xâm nhập (penetration testing) đối với hạ tầng và ứng dụng trọng yếu tối thiểu 01 (một) lần mỗi năm, do đội ngũ nội bộ độc lập hoặc đơn vị đánh giá bên ngoài có năng lực thực hiện.
12.2. Kiểm thử bổ sung được thực hiện khi có thay đổi kiến trúc lớn, khi đưa vào vận hành dịch vụ mới có tiếp xúc Internet, hoặc sau sự cố an toàn thông tin mức P1.
12.3. Phát hiện từ kiểm thử xâm nhập được đưa vào Sổ đăng ký lỗ hổng và xử lý theo cùng thang thời hạn tại Phần IV. Báo cáo kiểm thử là tài liệu mức Tối mật, chỉ chia sẻ theo nguyên tắc cần biết.
Điều 13. Kiểm thử do Khách hàng thực hiện
13.1. Khách hàng muốn tự thực hiện kiểm thử xâm nhập trên tài nguyên của mình phải gửi yêu cầu bằng văn bản trước tối thiểu 07 (bảy) ngày làm việc, nêu rõ phạm vi, thời gian, phương pháp và đầu mối kỹ thuật.
13.2. Kiểm thử do Khách hàng thực hiện không được phép ảnh hưởng tới hạ tầng dùng chung hoặc tới khách hàng khác.
PHẦN VII – CÔNG BỐ CÓ TRÁCH NHIỆM
Điều 14. Kênh tiếp nhận báo cáo lỗ hổng
14.1. HiTechCloud khuyến khích tổ chức, cá nhân phát hiện lỗ hổng bảo mật thông báo tới thư điện tử cskh@photuesoftware.com hoặc hotline 0865.920.041 với tiêu đề “Bao cao lo hong bao mat”, kèm mô tả kỹ thuật, các bước tái hiện và ảnh hưởng dự kiến.
14.2. HiTechCloud cam kết xác nhận đã tiếp nhận báo cáo trong 03 (ba) ngày làm việc, phản hồi kết quả đánh giá sơ bộ trong 15 (mười lăm) ngày làm việc và thông báo khi lỗ hổng đã được khắc phục.
Điều 15. Cam kết miễn truy cứu và giới hạn
15.1. Người báo cáo có thiện chí, tuân thủ nguyên tắc không khai thác vượt mức cần thiết để chứng minh lỗ hổng, không truy cập, sao chép, sửa đổi hay tiết lộ dữ liệu của Khách hàng, không gây gián đoạn dịch vụ và không công bố công khai trước khi HiTechCloud khắc phục hoặc trước 90 (chín mươi) ngày kể từ ngày báo cáo, sẽ không bị HiTechCloud khởi kiện hoặc yêu cầu xử lý pháp lý.
15.2. Hành vi khai thác lỗ hổng vượt phạm vi nêu tại khoản 15.1, tống tiền, đe doạ công bố nhằm trục lợi hoặc chuyển giao thông tin lỗ hổng cho bên thứ ba với mục đích xấu bị coi là vi phạm pháp luật và sẽ bị xử lý theo Luật An ninh mạng số 116/2025/QH15 và pháp luật hình sự.
PHẦN VIII – TRÁCH NHIỆM CỦA KHÁCH HÀNG
Điều 16. Nghĩa vụ vá lỗi trong phạm vi quản trị của Khách hàng
16.1. Khách hàng chịu trách nhiệm cập nhật kịp thời bản vá cho hệ điều hành, ứng dụng, mã nguồn, phần mở rộng, giao diện, thư viện và cấu hình thuộc phạm vi quản trị của mình, đặc biệt đối với dịch vụ máy chủ ảo và máy chủ riêng nơi Khách hàng có quyền quản trị cấp cao.
16.2. Khi HiTechCloud phát hiện lỗ hổng nghiêm trọng trên tài nguyên của Khách hàng, HiTechCloud gửi cảnh báo và ấn định thời hạn khắc phục hợp lý. Nếu Khách hàng không khắc phục và lỗ hổng đe doạ hạ tầng dùng chung hoặc khách hàng khác, HiTechCloud được quyền cách ly hoặc tạm ngưng tài nguyên liên quan để bảo vệ hệ thống.
Điều 17. Cấm sử dụng Dịch vụ để tấn công
17.1. Khách hàng không được sử dụng Dịch vụ của HiTechCloud làm phương tiện dò quét, khai thác lỗ hổng, phát tán mã khai thác hoặc tấn công vào hệ thống của bên thứ ba. Vi phạm dẫn tới đình chỉ Dịch vụ ngay lập tức.
PHẦN IX – BÁO CÁO, GIỚI HẠN TRÁCH NHIỆM VÀ HIỆU LỰC
Điều 18. Báo cáo nội bộ và lưu trữ hồ sơ
18.1. Bộ phận An toàn Thông tin báo cáo Ban An toàn Thông tin định kỳ hằng tháng về số lượng lỗ hổng phát hiện, tỷ lệ vá đúng hạn theo từng mức độ, số ngày tồn tại trung bình của lỗ hổng và danh mục ngoại lệ đang có hiệu lực.
18.2. Hồ sơ lỗ hổng, bản vá và kết quả kiểm thử được lưu trữ tối thiểu 03 (ba) năm phục vụ công tác đánh giá tuân thủ và thanh tra, kiểm tra của cơ quan nhà nước có thẩm quyền.
Điều 19. Giới hạn trách nhiệm
19.1. Việc HiTechCloud tuân thủ Chính sách này không cấu thành cam kết rằng hệ thống hoàn toàn không có lỗ hổng.
19.2. Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến văn bản này trong mọi trường hợp không vượt quá tổng phí dịch vụ Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất. HiTechCloud không chịu trách nhiệm đối với thiệt hại gián tiếp, thiệt hại hệ quả, lợi nhuận hoặc cơ hội kinh doanh bị mất.
Điều 20. Hiệu lực, rà soát và sửa đổi
20.1. Văn bản này được rà soát định kỳ tối thiểu 01 (một) lần mỗi năm hoặc khi có thay đổi quan trọng về pháp luật, công nghệ, mô hình vận hành. Mọi sửa đổi được thông báo trước 30 (ba mươi) ngày trên https://hitechcloud.vn/tai-lieu-ho-tro/.
20.2. Văn bản này là bộ phận không tách rời của Thoả thuận Sử dụng Dịch vụ và được công bố tại https://hitechcloud.vn/tai-lieu-ho-tro/.
20.3. Đầu mối tiếp nhận: hotline 0865.920.041; thư điện tử cskh@photuesoftware.com đối với yêu cầu hỗ trợ và khiếu nại dịch vụ; thư điện tử hoadon@photuesoftware.com đối với yêu cầu liên quan đến hoá đơn, thanh toán và hoàn tiền.
PHẦN X – LUẬT ÁP DỤNG VÀ GIẢI QUYẾT TRANH CHẤP
Điều 21. Luật áp dụng và giải quyết tranh chấp
21.1. Văn bản này được điều chỉnh và giải thích theo pháp luật Việt Nam. Trường hợp bất kỳ điều khoản nào bị cơ quan nhà nước có thẩm quyền tuyên là vô hiệu hoặc không thể thi hành, các điều khoản còn lại vẫn giữ nguyên hiệu lực.
21.2. Mọi tranh chấp, khiếu nại phát sinh từ hoặc liên quan đến văn bản này trước hết được giải quyết bằng thương lượng thiện chí giữa các bên. Trình tự tiếp nhận và xử lý khiếu nại thực hiện theo Quy trình Khiếu nại và Giải quyết Tranh chấp.
21.3. Nếu thương lượng không đạt kết quả trong vòng 30 (ba mươi) ngày kể từ lần thương lượng đầu tiên, tranh chấp được đưa ra Toà án nhân dân có thẩm quyền tại Thành phố Hồ Chí Minh giải quyết theo pháp luật Việt Nam. Trường hợp các bên có thoả thuận trọng tài riêng bằng văn bản, thoả thuận trọng tài được ưu tiên áp dụng.
PHẦN XI – CĂN CỨ PHÁP LÝ
- Bộ luật Tố tụng dân sự số 92/2015/QH13 ngày 25/11/2015, có hiệu lực từ ngày 01/7/2016 — về thẩm quyền của Toà án và trình tự giải quyết tranh chấp dân sự, kinh doanh thương mại;
- Luật Trọng tài thương mại số 54/2010/QH12 ngày 17/6/2010, có hiệu lực từ ngày 01/01/2011 — về hiệu lực của thoả thuận trọng tài khi các bên lựa chọn trọng tài thay cho Toà án;
- Luật An ninh mạng – số 116/2025/QH15, ngày ban hành 10/12/2025, có hiệu lực từ 01/07/2026 (Điều 44 khoản 2 bãi bỏ Luật An toàn thông tin mạng số 86/2015/QH13 và Luật An ninh mạng số 24/2018/QH14 kể từ ngày 01/07/2026)
- Nghị định về bảo vệ an ninh mạng đối với hệ thống thông tin – số 331/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026 (Quy định cấp độ hệ thống thông tin; thay thế vai trò của Nghị định số 85/2016/NĐ-CP và Thông tư số 12/2022/TT-BTTTT)
- Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân – số 330/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026
- Nghị định quy định về hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng – số 332/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026
- ISO/IEC 27001:2022 và TCVN ISO/IEC 27001:2019 – Hệ thống quản lý an toàn thông tin (Tiêu chuẩn tham chiếu, không phải văn bản quy phạm pháp luật)
- NIST SP 800-53 Rev.5 và NIST SP 800-207 (Zero Trust Architecture) (Thông lệ tốt tham chiếu)
- CVSS phiên bản 3.1 trở lên – Hệ thống chấm điểm lỗ hổng phổ biến (Thông lệ tốt tham chiếu)
Cập nhật theo khung pháp lý 2026-2027
Phần này bổ sung các nội dung bắt buộc theo pháp luật có hiệu lực trong năm 2026-2027 và là bộ phận không tách rời của văn bản. Trường hợp có mâu thuẫn với nội dung phía trên, phần này được ưu tiên áp dụng.
Thông báo sự cố an toàn thông tin và vi phạm dữ liệu cá nhân
Khi phát hiện sự cố an toàn thông tin hoặc sự cố lộ, mất, xâm phạm dữ liệu cá nhân có ảnh hưởng đến dữ liệu của Khách hàng, HiTechCloud thực hiện:
- Thông báo cho Khách hàng không chậm hơn 24 (hai mươi bốn) giờ kể từ thời điểm phát hiện, qua kênh liên hệ khẩn cấp đã đăng ký, kèm thông tin ban đầu về thời điểm, phạm vi, loại dữ liệu bị ảnh hưởng và biện pháp đã triển khai;
- Phối hợp với Khách hàng thực hiện nghĩa vụ thông báo cho cơ quan nhà nước có thẩm quyền trong thời hạn 72 (bảy mươi hai) giờ theo Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, và thông báo cho chủ thể dữ liệu khi pháp luật yêu cầu;
- Cung cấp báo cáo điều tra nguyên nhân gốc và kế hoạch khắc phục trong vòng 15 (mười lăm) ngày kể từ ngày thông báo ban đầu;
- Không đưa ra công bố công khai gắn tên Khách hàng về sự cố nếu chưa có sự thống nhất bằng văn bản, trừ trường hợp pháp luật bắt buộc.
Khách hàng có nghĩa vụ đối ứng tương tự trong vòng 24 giờ đối với sự cố phát sinh từ phía Khách hàng có ảnh hưởng đến hệ thống của HiTechCloud.
Tuân thủ pháp luật thương mại điện tử
Hoạt động cung cấp dịch vụ qua website, ứng dụng di động và nền tảng số của HiTechCloud tuân thủ E-commerce Law No. 122/2025/QH15 (Luật Thương mại điện tử) and Nghị định số 248/2026/NĐ-CP quy định chi tiết một số điều của Luật Thương mại điện tử, bao gồm nghĩa vụ công bố thông tin về chủ thể cung cấp dịch vụ, giá và điều kiện giao dịch chung, quy trình giao kết hợp đồng điện tử cho phép Khách hàng rà soát và xác nhận nội dung trước khi giao kết, lưu trữ chứng từ giao dịch, và cơ chế tiếp nhận, giải quyết khiếu nại.
Hóa đơn điện tử, chứng từ điện tử và nghĩa vụ thuế
HiTechCloud lập và gửi hóa đơn điện tử theo Luật Quản lý thuế số 108/2025/QH15, Nghị định số 254/2026/NĐ-CP quy định chi tiết một số điều và biện pháp để tổ chức, hướng dẫn thi hành Luật Quản lý thuế số 108/2025/QH15 về hóa đơn điện tử, chứng từ điện tử and Thông tư số 91/2026/TT-BTC. Các nội dung về quản lý thuế thực hiện theo Nghị định số 252/2026/NĐ-CP and Thông tư số 89/2026/TT-BTC.
- Hóa đơn được lập tại thời điểm hoàn thành việc cung cấp dịch vụ hoặc tại thời điểm thu tiền, tùy thời điểm nào đến trước; dịch vụ theo chu kỳ thì lập theo từng chu kỳ đã thỏa thuận.
- Khách hàng cung cấp chính xác thông tin định danh phục vụ lập hóa đơn và thông báo thay đổi trong 05 (năm) ngày làm việc.
- Hóa đơn có sai sót được thông báo trong 03 (ba) ngày làm việc và xử lý theo trình tự tại Nghị định số 254/2026/NĐ-CP và Thông tư số 91/2026/TT-BTC.
- Báo giá, đề nghị thanh toán, biên bản bàn giao, nghiệm thu, đối soát công nợ được lập dưới dạng chứng từ điện tử ký số, có giá trị pháp lý tương đương chứng từ giấy theo Luật Giao dịch điện tử số 20/2023/QH15 và Nghị định số 23/2025/NĐ-CP.
Ngoại lệ của giới hạn trách nhiệm
Giới hạn trách nhiệm quy định tại văn bản này không áp dụng đối với: (i) thiệt hại phát sinh từ hành vi cố ý hoặc gian lận của một Bên hoặc của người do Bên đó sử dụng; (ii) vi phạm nghĩa vụ bảo mật thông tin và nghĩa vụ bảo vệ dữ liệu cá nhân; (iii) hành vi xâm phạm quyền sở hữu trí tuệ của Bên kia hoặc của bên thứ ba; (iv) thiệt hại về tính mạng, sức khỏe của con người; (v) nghĩa vụ hoàn trả các khoản tiền mà một Bên đang giữ hộ hoặc đã thu nhưng không có căn cứ; (vi) các trách nhiệm mà pháp luật không cho phép loại trừ hoặc giới hạn.
Việc giới hạn trách nhiệm không làm mất quyền của Bên bị vi phạm được áp dụng các chế tài khác theo Điều 292 Luật Thương mại số 36/2005/QH11.
Mức trần trách nhiệm, các ngoại lệ và biện pháp bồi thường
Các quy định dưới đây được áp dụng theo Phụ lục cập nhật Tiêu chuẩn pháp lý năm 2026 và Phụ lục cập nhật Điều khoản dịch vụ năm 2026 do HiTechCloud ban hành, áp dụng thống nhất cho toàn bộ hệ thống điều khoản, tiêu chuẩn pháp lý dịch vụ và chính sách của HiTechCloud. Trường hợp có mâu thuẫn với nội dung phía trên, quy định tại phần này được áp dụng.
Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến Dịch vụ, với mọi căn cứ pháp lý cộng gộp, không vượt quá tổng phí dịch vụ mà Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất trước thời điểm phát sinh sự kiện gây thiệt hại. Đây là công thức thống nhất cho toàn bộ hệ thống văn bản của HiTechCloud; mọi công thức khác quy định tại văn bản này được hiểu theo công thức này.
Giới hạn trách nhiệm nêu trên KHÔNG áp dụng đối với: (i) lỗi cố ý hoặc gian lận; (ii) vi phạm nghĩa vụ bảo mật và bảo vệ dữ liệu cá nhân; (iii) xâm phạm quyền sở hữu trí tuệ; (iv) thiệt hại về tính mạng, sức khỏe; (v) hoàn trả tiền giữ hộ hoặc thu không có căn cứ; (vi) trách nhiệm mà pháp luật không cho phép loại trừ.
Biện pháp giảm trừ phí khi vi phạm cam kết mức độ dịch vụ là biện pháp bồi thường chính, không phải biện pháp duy nhất; Khách hàng bảo lưu quyền yêu cầu bồi thường thiệt hại thực tế theo Bộ luật Dân sự số 91/2015/QH13 và Luật Thương mại số 36/2005/QH11 trong các trường hợp nêu tại đoạn trên.
Yêu cầu bồi hoàn, giảm trừ phí theo cam kết mức độ dịch vụ được Khách hàng gửi bằng văn bản hoặc qua hệ thống phiếu yêu cầu (ticket) trong thời hạn 30 (ba mươi) ngày kể từ ngày kết thúc chu kỳ thanh toán có sự cố. Trường hợp sự cố kéo dài qua nhiều chu kỳ, thời hạn được tính từ ngày HiTechCloud xác nhận đã khắc phục xong sự cố. Quá thời hạn này, quyền yêu cầu bồi hoàn chấm dứt; quy định này không làm thay đổi thời hiệu khởi kiện mà pháp luật quy định là bắt buộc.
Các quy định về mức trần bồi hoàn và các trường hợp loại trừ không được áp dụng để hạn chế, loại trừ hoặc gây cản trở các quyền mà pháp luật về bảo vệ quyền lợi người tiêu dùng và pháp luật về bảo vệ dữ liệu cá nhân dành cho Khách hàng. Trường hợp bất kỳ nội dung nào của văn bản này hạn chế quyền của Khách hàng là người tiêu dùng ở mức thấp hơn quy định của pháp luật, quy định của pháp luật được áp dụng theo khoản 1 Điều 25 Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15.
Chuẩn hóa theo quy định pháp luật
Nhật ký hệ thống và thời hạn lưu trữ
HiTechCloud ghi và lưu nhật ký hệ thống liên quan đến việc cung cấp dịch vụ tối thiểu 12 (mười hai) tháng nhằm phục vụ điều tra sự cố, đối soát và đáp ứng yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền. Nhật ký chứa dữ liệu cá nhân được bảo vệ theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, chỉ được truy cập theo nguyên tắc đặc quyền tối thiểu, và được xóa an toàn khi hết thời hạn lưu trữ hoặc khi không còn mục đích xử lý.
Phân vai xử lý dữ liệu cá nhân
Trong quan hệ cung cấp dịch vụ theo văn bản này: Khách hàng là Bên Kiểm soát dữ liệu cá nhân đối với dữ liệu cá nhân của khách hàng, người dùng cuối, nhân sự và đối tác của Khách hàng được đưa vào, lưu trữ hoặc xử lý trên dịch vụ, và chịu trách nhiệm về căn cứ pháp lý của việc xử lý. HiTechCloud là Bên Xử lý dữ liệu cá nhân, chỉ xử lý theo phạm vi, mục đích và chỉ dẫn hợp pháp bằng văn bản của Khách hàng nhằm cung cấp dịch vụ, không sử dụng cho mục đích khác, không bán và không chuyển giao trái phép. Đối với phần dữ liệu HiTechCloud buộc phải xử lý để thực hiện nghĩa vụ luật định của chính mình (kê khai thuế, lưu nhật ký hệ thống, phòng chống gian lận, đáp ứng yêu cầu của cơ quan nhà nước có thẩm quyền), HiTechCloud là Bên Kiểm soát dữ liệu độc lập đối với phần dữ liệu đó.
