Chính sách bảo mật hệ thống thông tin
PHẦN I – MỤC ĐÍCH, PHẠM VI VÀ THỨ BẬC ÁP DỤNG
Điều 1. Mục đích và khuôn khổ quản lý an toàn thông tin
1.1. Chính sách này xác lập khuôn khổ Hệ thống Quản lý An toàn Thông tin (Information Security Management System – ISMS) của Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (thương hiệu HiTechCloud, sau đây gọi là “HiTechCloud”), được xây dựng tham chiếu tiêu chuẩn ISO/IEC 27001:2022, ISO/IEC 27002:2022, ISO/IEC 27017:2015, ISO/IEC 27018:2019 và Khung an ninh mạng NIST Cybersecurity Framework 2.0.
1.2. Mục tiêu của Chính sách là bảo đảm ba thuộc tính cốt lõi của thông tin: tính bí mật (Confidentiality), tính toàn vẹn (Integrity) và tính sẵn sàng (Availability); đồng thời bảo đảm tuân thủ pháp luật Việt Nam về an ninh mạng và bảo vệ dữ liệu cá nhân.
条 2. 適用範囲
2.1. Phạm vi áp dụng bao gồm toàn bộ hạ tầng trung tâm dữ liệu, hệ thống điện toán đám mây, hệ thống mạng, thiết bị đầu cuối, ứng dụng nội bộ, mã nguồn, dữ liệu vận hành và dữ liệu Khách hàng do HiTechCloud quản lý.
2.2. Chính sách áp dụng cho toàn thể người lao động, cộng tác viên, nhà thầu, đối tác và mọi bên thứ ba được cấp quyền truy cập tài nguyên thông tin của HiTechCloud.
2.3. Việc tuân thủ Chính sách này là điều kiện bắt buộc trong quan hệ lao động, quan hệ hợp đồng dịch vụ và quan hệ hợp tác với HiTechCloud.
Điều 3. Thứ bậc văn bản
3.1. Chính sách này là văn bản cấp cao nhất trong hệ thống tài liệu an toàn thông tin của HiTechCloud. Các quy trình, hướng dẫn và tiêu chuẩn kỹ thuật chi tiết được ban hành kèm theo và không được trái với Chính sách này.
3.2. Trường hợp có mâu thuẫn giữa các tài liệu nội bộ về an toàn thông tin, Chính sách này được ưu tiên áp dụng.
PHẦN II – TỔ CHỨC BẢO ĐẢM AN TOÀN THÔNG TIN
Điều 4. Cơ cấu tổ chức
4.1. HiTechCloud thiết lập Ban An toàn Thông tin do Giám đốc Công ty làm Trưởng ban, chịu trách nhiệm phê duyệt chiến lược an toàn thông tin, phê duyệt mức chấp nhận rủi ro, phân bổ nguồn lực và xem xét lãnh đạo định kỳ tối thiểu 06 (sáu) tháng một lần.
4.2. Bộ phận An toàn Thông tin (Security Operations) chịu trách nhiệm vận hành hằng ngày, gồm: quản lý rủi ro, quản lý lỗ hổng, giám sát an ninh, điều tra sự cố, kiểm soát truy cập, quản lý khoá mã hoá và duy trì hồ sơ tuân thủ. Bộ phận này độc lập về báo cáo với bộ phận vận hành hạ tầng nhằm bảo đảm tính khách quan.
4.3. Nguyên tắc phân tách nhiệm vụ (Segregation of Duties) được áp dụng bắt buộc: người thực hiện thay đổi hệ thống không đồng thời là người phê duyệt thay đổi; người quản trị hệ thống không đồng thời là người quản trị nhật ký kiểm toán của chính hệ thống đó.
Điều 5. Quản lý rủi ro an toàn thông tin
5.1. HiTechCloud duy trì quy trình quản lý rủi ro an toàn thông tin gồm bốn bước: nhận diện, phân tích, đánh giá và xử lý rủi ro.
5.2. Đăng ký rủi ro (risk register) được cập nhật tối thiểu 06 (sáu) tháng một lần hoặc ngay khi phát sinh thay đổi trọng yếu về hạ tầng, dịch vụ hoặc bối cảnh mối đe doạ.
PHẦN III – PHÂN LOẠI TÀI SẢN VÀ DỮ LIỆU
Điều 6. Kiểm kê và phân loại
6.1. Toàn bộ tài sản thông tin được kiểm kê trong Sổ đăng ký tài sản (asset inventory), có chỉ định chủ sở hữu tài sản, mức phân loại và vòng đời từ khi tiếp nhận đến khi thanh lý, tiêu huỷ an toàn.
6.2. Dữ liệu được phân thành 04 (bốn) mức:
- Công khai – có thể phổ biến không hạn chế;
- Nội bộ – chỉ lưu hành trong tổ chức;
- Mật – chỉ tiếp cận theo nhu cầu công việc, gồm dữ liệu Khách hàng, cấu hình hạ tầng và mã nguồn;
- Tối mật – gồm khoá mã hoá, thông tin xác thực đặc quyền và dữ liệu cá nhân nhạy cảm theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
Điều 7. Kiểm soát theo mức phân loại và tiêu huỷ an toàn
7.1. Mỗi mức phân loại gắn với yêu cầu kiểm soát tương ứng về lưu trữ, truyền đưa, sao chép, in ấn, chia sẻ với bên thứ ba và tiêu huỷ. Dữ liệu mức Mật và Tối mật bắt buộc được mã hoá cả khi lưu trữ và khi truyền đưa.
7.2. Việc tiêu huỷ dữ liệu và phương tiện lưu trữ được thực hiện theo phương pháp bảo đảm không thể khôi phục (xoá nhiều lớp theo hướng dẫn NIST SP 800-88 hoặc huỷ vật lý), có biên bản tiêu huỷ được lưu giữ tối thiểu 03 (ba) năm.
PHẦN IV – AN NINH VẬT LÝ VÀ MÔI TRƯỜNG
Điều 8. Trung tâm dữ liệu và kiểm soát ra vào
8.1. HiTechCloud thuê chỗ đặt thiết bị tại trung tâm dữ liệu của đối tác trên lãnh thổ Việt Nam. Trung tâm dữ liệu do đối tác vận hành và áp dụng tiêu chuẩn của đơn vị vận hành, có kiểm soát ra vào nhiều lớp bằng thẻ từ và sinh trắc học, camera giám sát 24/7 lưu trữ tối thiểu 90 (chín mươi) ngày và lực lượng bảo vệ trực thường xuyên.
8.2. Quyền ra vào khu vực máy chủ được cấp theo danh sách phê duyệt, ghi nhận đầy đủ thời điểm vào và thời điểm ra. Khách và nhà thầu chỉ được vào khi có nhân sự HiTechCloud đi kèm toàn thời gian và phải đăng ký trước tối thiểu 24 (hai mươi bốn) giờ.
Điều 9. Hạ tầng kỹ thuật phụ trợ
9.1. Trung tâm dữ liệu của đối tác được trang bị hệ thống điện dự phòng UPS và máy phát điện, điều hoà chính xác, hệ thống chữa cháy phù hợp với thiết bị điện tử, cảm biến nhiệt độ – độ ẩm – rò rỉ nước và cơ chế cảnh báo tự động tới bộ phận trực vận hành.
9.2. Việc công bố sự phù hợp của trung tâm dữ liệu với tiêu chuẩn, quy chuẩn kỹ thuật theo quy định của pháp luật thuộc trách nhiệm của đơn vị vận hành trung tâm dữ liệu.
PHẦN V – AN NINH VẬN HÀNH VÀ AN NINH MẠNG
Điều 10. Kiến trúc phòng thủ nhiều lớp
10.1. HiTechCloud áp dụng kiến trúc phòng thủ nhiều lớp, gồm: tường lửa biên và tường lửa ứng dụng web (WAF), hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS), giải pháp chống tấn công từ chối dịch vụ phân tán (Anti-DDoS) và phân đoạn mạng (network segmentation) tách biệt vùng quản trị, vùng dịch vụ và vùng dữ liệu.
Điều 11. Quản lý thay đổi, cường hoá và tách biệt môi trường
11.1. Mọi thay đổi cấu hình, nâng cấp phiên bản hoặc triển khai mới phải tuân thủ Quy trình Quản lý Thay đổi, gồm: đề xuất, đánh giá tác động và rủi ro, phê duyệt, kiểm thử trên môi trường tách biệt, kế hoạch quay lui (rollback) và ghi nhận kết quả sau triển khai.
11.2. Máy chủ và thiết bị đầu cuối được cài đặt giải pháp phòng chống mã độc, kiểm soát ứng dụng và cấu hình theo chuẩn cường hoá (hardening baseline) tham chiếu CIS Benchmarks. Thiết bị không đạt chuẩn không được kết nối vào mạng vận hành.
11.3. Môi trường phát triển, kiểm thử và vận hành được tách biệt hoàn toàn. Nghiêm cấm sử dụng dữ liệu thật của Khách hàng trong môi trường phát triển, kiểm thử nếu chưa được khử định danh hoặc giả lập.
Điều 12. Bảo trì có kế hoạch
12.1. Hoạt động bảo trì có kế hoạch được thông báo trước từ 48 (bốn mươi tám) đến 72 (bảy mươi hai) giờ qua địa chỉ thư điện tử đã đăng ký và trang thông báo dịch vụ, trừ trường hợp khẩn cấp nhằm ngăn chặn sự cố an toàn thông tin.
12.2. Đối với Khách hàng là người tiêu dùng theo Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15, HiTechCloud thông báo về việc bảo trì chậm nhất 03 (ba) ngày làm việc trước khi thực hiện, theo khoản 3 Điều 41 của Luật này. Đây là mức sàn do pháp luật quy định và không được thoả thuận rút ngắn; hai mốc thời hạn nêu tại khoản 12.1 và khoản 12.2 tồn tại song song.
PHẦN VI – MÃ HOÁ VÀ QUẢN LÝ KHOÁ
Điều 13. Mã hoá dữ liệu
13.1. Dữ liệu khi lưu trữ (at-rest) được mã hoá bằng thuật toán AES-256 hoặc thuật toán có độ mạnh tương đương trở lên, áp dụng cho ổ đĩa, khối lưu trữ, bản sao lưu và kho lưu trữ đối tượng.
13.2. Dữ liệu khi truyền đưa (in-transit) được bảo vệ bằng giao thức TLS phiên bản 1.2 trở lên với bộ mã hoá mạnh, ưu tiên TLS 1.3. Các giao thức và bộ mã hoá đã lỗi thời như SSLv3, TLS 1.0, TLS 1.1, RC4 và 3DES bị vô hiệu hoá hoàn toàn.
Điều 14. Quản lý khoá và thông tin xác thực
14.1. Khoá mã hoá được sinh, lưu trữ và quản lý trong hệ thống quản lý khoá chuyên dụng (KMS/HSM), phân tách với dữ liệu được mã hoá, có kiểm soát truy cập chặt chẽ và nhật ký sử dụng đầy đủ. Khoá được luân chuyển định kỳ tối thiểu 12 (mười hai) tháng hoặc ngay khi có nghi ngờ lộ lọt.
14.2. Mật khẩu và thông tin xác thực được lưu dưới dạng băm một chiều có muối bằng thuật toán chuyên dụng như bcrypt, scrypt hoặc Argon2. Nghiêm cấm lưu trữ hoặc truyền mật khẩu ở dạng rõ trong bất kỳ hệ thống, tệp cấu hình hay nhật ký nào.
PHẦN VII – QUẢN LÝ NHÀ CUNG CẤP VÀ BÊN THỨ BA
Điều 15. Đánh giá trước khi hợp tác và ràng buộc hợp đồng
15.1. Nhà cung cấp, nhà thầu và đối tác có khả năng tiếp cận hệ thống hoặc dữ liệu của HiTechCloud phải được đánh giá về an toàn thông tin trước khi ký hợp đồng, bao gồm rà soát chứng nhận, năng lực kỹ thuật, biện pháp bảo vệ dữ liệu và lịch sử sự cố.
15.2. Hợp đồng với bên thứ ba bắt buộc có điều khoản bảo mật, điều khoản bảo vệ dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, nghĩa vụ thông báo sự cố trong thời hạn xác định, quyền kiểm tra – đánh giá của HiTechCloud và nghĩa vụ hoàn trả hoặc tiêu huỷ dữ liệu khi kết thúc hợp đồng.
Điều 16. Giám sát và thu hồi quyền truy cập của bên thứ ba
16.1. HiTechCloud thực hiện đánh giá lại rủi ro đối với nhà cung cấp trọng yếu tối thiểu 12 (mười hai) tháng một lần. Nhà cung cấp không đáp ứng yêu cầu sẽ được đưa vào kế hoạch khắc phục có thời hạn hoặc bị chấm dứt hợp tác.
16.2. Truy cập của bên thứ ba được cấp theo nguyên tắc đặc quyền tối thiểu, có thời hạn, được giám sát và ghi nhật ký đầy đủ. Quyền truy cập bị thu hồi ngay khi kết thúc công việc hoặc chấm dứt hợp đồng.
PHẦN VIII – NHÂN SỰ VÀ ĐÀO TẠO NHẬN THỨC AN TOÀN THÔNG TIN
Điều 17. Cam kết bảo mật và thẩm tra nhân sự
17.1. Người lao động và cộng tác viên phải ký cam kết bảo mật thông tin trước khi được cấp quyền truy cập. Đối với vị trí tiếp cận dữ liệu mức Mật và Tối mật, HiTechCloud thực hiện thẩm tra thông tin tuyển dụng phù hợp quy định của pháp luật lao động.
Điều 18. Đào tạo và diễn tập nhận thức
18.1. Toàn thể nhân sự được đào tạo nhận thức an toàn thông tin khi tiếp nhận công việc và đào tạo định kỳ tối thiểu 01 (một) lần mỗi năm. Nội dung đào tạo gồm bảo vệ dữ liệu cá nhân, nhận diện tấn công lừa đảo (phishing), an toàn mật khẩu, xử lý dữ liệu và quy trình báo cáo sự cố.
18.2. HiTechCloud tổ chức diễn tập mô phỏng tấn công lừa đảo tối thiểu 02 (hai) lần mỗi năm. Nhân sự có kết quả không đạt được yêu cầu đào tạo bổ sung bắt buộc.
Điều 19. Thu hồi quyền khi chấm dứt hoặc thay đổi vị trí
19.1. Khi chấm dứt hợp đồng lao động hoặc thay đổi vị trí công tác, toàn bộ quyền truy cập được thu hồi hoặc điều chỉnh trong vòng 24 (hai mươi bốn) giờ; tài sản, thiết bị và tài liệu được thu hồi và lập biên bản bàn giao.
PHẦN IX – ĐÁNH GIÁ TUÂN THỦ, XỬ LÝ VI PHẠM VÀ ĐIỀU KHOẢN CHUNG
Điều 20. Đánh giá tuân thủ và minh bạch với Khách hàng
20.1. HiTechCloud thực hiện đánh giá nội bộ ISMS tối thiểu 01 (một) lần mỗi năm, kiểm thử xâm nhập tối thiểu 01 (một) lần mỗi năm và quét lỗ hổng định kỳ theo Chính sách Quản lý Lỗ hổng và Vá lỗi. Kết quả được báo cáo Ban An toàn Thông tin kèm kế hoạch khắc phục có thời hạn và người chịu trách nhiệm.
20.2. ISO/IEC 27001 về quản lý an toàn thông tin, bộ yêu cầu PCI DSS về bảo mật dữ liệu thẻ thanh toán và khuôn khổ SOC 2 được HiTechCloud áp dụng làm khung tham chiếu kỹ thuật khi xây dựng hệ thống quản lý. Việc tham chiếu này không phải là công bố chứng nhận và không đồng nghĩa với việc HiTechCloud đã được cấp chứng nhận theo các tiêu chuẩn đó. Chứng nhận, báo cáo đánh giá độc lập của đơn vị vận hành trung tâm dữ liệu và của đối tác cung cấp hạ tầng được HiTechCloud cung cấp theo yêu cầu hợp lệ bằng văn bản của Khách hàng, trong phạm vi các đơn vị đó cho phép.
20.3. Khách hàng được cung cấp bản tóm tắt kết quả đánh giá tuân thủ và báo cáo an toàn ở mức phù hợp theo yêu cầu hợp lệ bằng văn bản, với điều kiện việc cung cấp không làm lộ thông tin có thể gây rủi ro cho hệ thống hoặc cho khách hàng khác.
Điều 21. Xử lý vi phạm
21.1. Hành vi vi phạm Chính sách này được xử lý theo mức độ: nhắc nhở, đào tạo lại, xử lý kỷ luật lao động, thu hồi quyền truy cập, chấm dứt hợp đồng. Trường hợp có dấu hiệu tội phạm, HiTechCloud chuyển hồ sơ tới cơ quan nhà nước có thẩm quyền.
Điều 22. Giới hạn trách nhiệm
22.1. Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến văn bản này trong mọi trường hợp không vượt quá tổng phí dịch vụ Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất. HiTechCloud không chịu trách nhiệm đối với thiệt hại gián tiếp, thiệt hại hệ quả, lợi nhuận hoặc cơ hội kinh doanh bị mất.
22.2. Việc HiTechCloud tuân thủ Chính sách này không cấu thành cam kết rằng hệ thống hoàn toàn không có lỗ hổng hoặc không thể xảy ra sự cố an toàn thông tin.
Điều 23. Hiệu lực, rà soát và sửa đổi
23.1. Văn bản này được rà soát định kỳ tối thiểu 01 (một) lần mỗi năm hoặc khi có thay đổi quan trọng về pháp luật, công nghệ, mô hình vận hành. Mọi sửa đổi được thông báo trước 30 (ba mươi) ngày trên https://hitechcloud.vn/tai-lieu-ho-tro/.
23.2. Văn bản này là bộ phận không tách rời của Thoả thuận Sử dụng Dịch vụ và được công bố tại https://hitechcloud.vn/tai-lieu-ho-tro/.
23.3. Đầu mối tiếp nhận: hotline 0865.920.041; thư điện tử cskh@photuesoftware.com đối với yêu cầu hỗ trợ và khiếu nại dịch vụ; thư điện tử hoadon@photuesoftware.com đối với yêu cầu liên quan đến hoá đơn, thanh toán và hoàn tiền.
PHẦN X – GIẢI QUYẾT TRANH CHẤP
Điều 24. Giải quyết tranh chấp
24.1. Mọi tranh chấp, khiếu nại phát sinh từ hoặc liên quan đến văn bản này trước hết được giải quyết bằng thương lượng thiện chí giữa các bên. Trình tự tiếp nhận và xử lý khiếu nại thực hiện theo Quy trình Khiếu nại và Giải quyết Tranh chấp.
24.2. Nếu thương lượng không đạt kết quả trong vòng 30 (ba mươi) ngày kể từ lần thương lượng đầu tiên, tranh chấp được đưa ra Toà án nhân dân có thẩm quyền tại Thành phố Hồ Chí Minh giải quyết theo pháp luật Việt Nam. Trường hợp các bên có thoả thuận trọng tài riêng bằng văn bản, thoả thuận trọng tài được ưu tiên áp dụng.
PHẦN XI – CĂN CỨ PHÁP LÝ
- Bộ luật Tố tụng dân sự số 92/2015/QH13 ngày 25/11/2015, có hiệu lực từ ngày 01/7/2016 — về thẩm quyền của Toà án và trình tự giải quyết tranh chấp dân sự, kinh doanh thương mại;
- Luật Trọng tài thương mại số 54/2010/QH12 ngày 17/6/2010, có hiệu lực từ ngày 01/01/2011 — về hiệu lực của thoả thuận trọng tài khi các bên lựa chọn trọng tài thay cho Toà án;
- Luật An ninh mạng – số 116/2025/QH15, ngày ban hành 10/12/2025, có hiệu lực từ 01/07/2026 (Điều 44 khoản 2 bãi bỏ Luật An toàn thông tin mạng số 86/2015/QH13 và Luật An ninh mạng số 24/2018/QH14 kể từ ngày 01/07/2026)
- Nghị định về bảo vệ an ninh mạng đối với hệ thống thông tin – số 331/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026 (Quy định cấp độ hệ thống thông tin; thay thế vai trò của Nghị định số 85/2016/NĐ-CP và Thông tư số 12/2022/TT-BTTTT)
- Nghị định quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng – số 333/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026 (Điều 9 quy định Mạng lưới ứng phó, khắc phục sự cố an ninh mạng quốc gia do Bộ Công an điều phối thống nhất; thay thế vai trò của Nghị định số 53/2022/NĐ-CP)
- Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân – số 330/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026
- Luật Bảo vệ dữ liệu cá nhân – số 91/2025/QH15, ngày ban hành 26/06/2025, có hiệu lực từ 01/01/2026 (Nghị định số 13/2023/NĐ-CP hết hiệu lực từ ngày 01/01/2026 theo khoản 2 Điều 42 Nghị định số 356/2025/NĐ-CP)
- Nghị định quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân – số 356/2025/NĐ-CP, ngày ban hành 31/12/2025, có hiệu lực từ 01/01/2026
- ISO/IEC 27001:2022 và TCVN ISO/IEC 27001:2019 – Hệ thống quản lý an toàn thông tin (Tiêu chuẩn tham chiếu, không phải văn bản quy phạm pháp luật)
- ISO/IEC 27002:2022 – Biện pháp kiểm soát an toàn thông tin (Tiêu chuẩn tham chiếu, không phải văn bản quy phạm pháp luật)
- ISO/IEC 27017:2015 và ISO/IEC 27018:2019 – An toàn và bảo vệ dữ liệu cá nhân trên đám mây (Tiêu chuẩn tham chiếu, không phải văn bản quy phạm pháp luật)
- NIST Cybersecurity Framework 2.0 – Khung an ninh mạng (Thông lệ tốt tham chiếu)
- NIST SP 800-88 Rev.1 – Guidelines for Media Sanitization (Thông lệ tốt tham chiếu)
- CIS Benchmarks – Chuẩn cường hoá cấu hình (Thông lệ tốt tham chiếu)
Cập nhật theo khung pháp lý 2026-2027
Phần này bổ sung các nội dung bắt buộc theo pháp luật có hiệu lực trong năm 2026-2027 và là bộ phận không tách rời của văn bản. Trường hợp có mâu thuẫn với nội dung phía trên, phần này được ưu tiên áp dụng.
Thông báo sự cố an toàn thông tin và vi phạm dữ liệu cá nhân
Khi phát hiện sự cố an toàn thông tin hoặc sự cố lộ, mất, xâm phạm dữ liệu cá nhân có ảnh hưởng đến dữ liệu của Khách hàng, HiTechCloud thực hiện:
- Thông báo cho Khách hàng không chậm hơn 24 (hai mươi bốn) giờ kể từ thời điểm phát hiện, qua kênh liên hệ khẩn cấp đã đăng ký, kèm thông tin ban đầu về thời điểm, phạm vi, loại dữ liệu bị ảnh hưởng và biện pháp đã triển khai;
- Phối hợp với Khách hàng thực hiện nghĩa vụ thông báo cho cơ quan nhà nước có thẩm quyền trong thời hạn 72 (bảy mươi hai) giờ theo Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, và thông báo cho chủ thể dữ liệu khi pháp luật yêu cầu;
- Cung cấp báo cáo điều tra nguyên nhân gốc và kế hoạch khắc phục trong vòng 15 (mười lăm) ngày kể từ ngày thông báo ban đầu;
- Không đưa ra công bố công khai gắn tên Khách hàng về sự cố nếu chưa có sự thống nhất bằng văn bản, trừ trường hợp pháp luật bắt buộc.
Khách hàng có nghĩa vụ đối ứng tương tự trong vòng 24 giờ đối với sự cố phát sinh từ phía Khách hàng có ảnh hưởng đến hệ thống của HiTechCloud.
Tuân thủ pháp luật thương mại điện tử
Hoạt động cung cấp dịch vụ qua website, ứng dụng di động và nền tảng số của HiTechCloud tuân thủ 電子商取引法第122/2025/QH15号 および Nghị định số 248/2026/NĐ-CP quy định chi tiết một số điều của Luật Thương mại điện tử, bao gồm nghĩa vụ công bố thông tin về chủ thể cung cấp dịch vụ, giá và điều kiện giao dịch chung, quy trình giao kết hợp đồng điện tử cho phép Khách hàng rà soát và xác nhận nội dung trước khi giao kết, lưu trữ chứng từ giao dịch, và cơ chế tiếp nhận, giải quyết khiếu nại.
Hóa đơn điện tử, chứng từ điện tử và nghĩa vụ thuế
HiTechCloud lập và gửi hóa đơn điện tử theo Luật Quản lý thuế số 108/2025/QH15, Nghị định số 254/2026/NĐ-CP quy định chi tiết một số điều và biện pháp để tổ chức, hướng dẫn thi hành Luật Quản lý thuế số 108/2025/QH15 về hóa đơn điện tử, chứng từ điện tử および Thông tư số 91/2026/TT-BTC. Các nội dung về quản lý thuế thực hiện theo Nghị định số 252/2026/NĐ-CP および Thông tư số 89/2026/TT-BTC.
- Hóa đơn được lập tại thời điểm hoàn thành việc cung cấp dịch vụ hoặc tại thời điểm thu tiền, tùy thời điểm nào đến trước; dịch vụ theo chu kỳ thì lập theo từng chu kỳ đã thỏa thuận.
- Khách hàng cung cấp chính xác thông tin định danh phục vụ lập hóa đơn và thông báo thay đổi trong 05 (năm) ngày làm việc.
- Hóa đơn có sai sót được thông báo trong 03 (ba) ngày làm việc và xử lý theo trình tự tại Nghị định số 254/2026/NĐ-CP và Thông tư số 91/2026/TT-BTC.
- Báo giá, đề nghị thanh toán, biên bản bàn giao, nghiệm thu, đối soát công nợ được lập dưới dạng chứng từ điện tử ký số, có giá trị pháp lý tương đương chứng từ giấy theo Luật Giao dịch điện tử số 20/2023/QH15 và Nghị định số 23/2025/NĐ-CP.
Ngoại lệ của giới hạn trách nhiệm
Giới hạn trách nhiệm quy định tại văn bản này không áp dụng đối với: (i) thiệt hại phát sinh từ hành vi cố ý hoặc gian lận của một Bên hoặc của người do Bên đó sử dụng; (ii) vi phạm nghĩa vụ bảo mật thông tin và nghĩa vụ bảo vệ dữ liệu cá nhân; (iii) hành vi xâm phạm quyền sở hữu trí tuệ của Bên kia hoặc của bên thứ ba; (iv) thiệt hại về tính mạng, sức khỏe của con người; (v) nghĩa vụ hoàn trả các khoản tiền mà một Bên đang giữ hộ hoặc đã thu nhưng không có căn cứ; (vi) các trách nhiệm mà pháp luật không cho phép loại trừ hoặc giới hạn.
Việc giới hạn trách nhiệm không làm mất quyền của Bên bị vi phạm được áp dụng các chế tài khác theo Điều 292 Luật Thương mại số 36/2005/QH11.
Mức trần trách nhiệm, các ngoại lệ và biện pháp bồi thường
Các quy định dưới đây được áp dụng theo Phụ lục cập nhật Tiêu chuẩn pháp lý năm 2026 và Phụ lục cập nhật Điều khoản dịch vụ năm 2026 do HiTechCloud ban hành, áp dụng thống nhất cho toàn bộ hệ thống điều khoản, tiêu chuẩn pháp lý dịch vụ và chính sách của HiTechCloud. Trường hợp có mâu thuẫn với nội dung phía trên, quy định tại phần này được áp dụng.
Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến Dịch vụ, với mọi căn cứ pháp lý cộng gộp, không vượt quá tổng phí dịch vụ mà Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất trước thời điểm phát sinh sự kiện gây thiệt hại. Đây là công thức thống nhất cho toàn bộ hệ thống văn bản của HiTechCloud; mọi công thức khác quy định tại văn bản này được hiểu theo công thức này.
Giới hạn trách nhiệm nêu trên KHÔNG áp dụng đối với: (i) lỗi cố ý hoặc gian lận; (ii) vi phạm nghĩa vụ bảo mật và bảo vệ dữ liệu cá nhân; (iii) xâm phạm quyền sở hữu trí tuệ; (iv) thiệt hại về tính mạng, sức khỏe; (v) hoàn trả tiền giữ hộ hoặc thu không có căn cứ; (vi) trách nhiệm mà pháp luật không cho phép loại trừ.
Biện pháp giảm trừ phí khi vi phạm cam kết mức độ dịch vụ là biện pháp bồi thường chính, không phải biện pháp duy nhất; Khách hàng bảo lưu quyền yêu cầu bồi thường thiệt hại thực tế theo Bộ luật Dân sự số 91/2015/QH13 và Luật Thương mại số 36/2005/QH11 trong các trường hợp nêu tại đoạn trên.
Yêu cầu bồi hoàn, giảm trừ phí theo cam kết mức độ dịch vụ được Khách hàng gửi bằng văn bản hoặc qua hệ thống phiếu yêu cầu (ticket) trong thời hạn 30 (ba mươi) ngày kể từ ngày kết thúc chu kỳ thanh toán có sự cố. Trường hợp sự cố kéo dài qua nhiều chu kỳ, thời hạn được tính từ ngày HiTechCloud xác nhận đã khắc phục xong sự cố. Quá thời hạn này, quyền yêu cầu bồi hoàn chấm dứt; quy định này không làm thay đổi thời hiệu khởi kiện mà pháp luật quy định là bắt buộc.
Các quy định về mức trần bồi hoàn và các trường hợp loại trừ không được áp dụng để hạn chế, loại trừ hoặc gây cản trở các quyền mà pháp luật về bảo vệ quyền lợi người tiêu dùng và pháp luật về bảo vệ dữ liệu cá nhân dành cho Khách hàng. Trường hợp bất kỳ nội dung nào của văn bản này hạn chế quyền của Khách hàng là người tiêu dùng ở mức thấp hơn quy định của pháp luật, quy định của pháp luật được áp dụng theo khoản 1 Điều 25 Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15.
Chuẩn hóa theo quy định pháp luật
Phân vai xử lý dữ liệu cá nhân
Trong quan hệ cung cấp dịch vụ theo văn bản này: Khách hàng là Bên Kiểm soát dữ liệu cá nhân đối với dữ liệu cá nhân của khách hàng, người dùng cuối, nhân sự và đối tác của Khách hàng được đưa vào, lưu trữ hoặc xử lý trên dịch vụ, và chịu trách nhiệm về căn cứ pháp lý của việc xử lý. HiTechCloud là Bên Xử lý dữ liệu cá nhân, chỉ xử lý theo phạm vi, mục đích và chỉ dẫn hợp pháp bằng văn bản của Khách hàng nhằm cung cấp dịch vụ, không sử dụng cho mục đích khác, không bán và không chuyển giao trái phép. Đối với phần dữ liệu HiTechCloud buộc phải xử lý để thực hiện nghĩa vụ luật định của chính mình (kê khai thuế, lưu nhật ký hệ thống, phòng chống gian lận, đáp ứng yêu cầu của cơ quan nhà nước có thẩm quyền), HiTechCloud là Bên Kiểm soát dữ liệu độc lập đối với phần dữ liệu đó.
