アクセス制御ポリシー(Identity and Access Management – IAM)
PHẦN I – MỤC ĐÍCH, PHẠM VI VÀ NGUYÊN TẮC ZERO TRUST
Điều 1. Mục đích và phạm vi
1.1. Chính sách này quy định nguyên tắc và biện pháp kiểm soát truy cập vào hệ thống, dịch vụ và dữ liệu của Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (thương hiệu HiTechCloud, sau đây gọi là “HiTechCloud”).
1.2. Chính sách áp dụng cho toàn bộ tài khoản người dùng nội bộ, tài khoản dịch vụ, tài khoản đặc quyền, tài khoản bên thứ ba và tài khoản Khách hàng.
Điều 2. Nguyên tắc Zero Trust
2.1. HiTechCloud áp dụng mô hình Zero Trust theo hướng dẫn NIST SP 800-207 với nguyên lý “không tin cậy mặc định, luôn xác minh”: mọi yêu cầu truy cập đều được xác thực, uỷ quyền và đánh giá bối cảnh (danh tính, thiết bị, vị trí, mức độ rủi ro) trước khi cấp quyền, bất kể yêu cầu xuất phát từ bên trong hay bên ngoài mạng nội bộ.
2.2. Không tồn tại khái niệm “mạng nội bộ được tin cậy tuyệt đối”. Phân đoạn vi mô (micro-segmentation) được áp dụng để hạn chế khả năng di chuyển ngang trong hệ thống khi một thành phần bị xâm hại.
2.3. Mọi truy cập quản trị vào hạ tầng vận hành chỉ được thực hiện qua kênh được kiểm soát (bastion host hoặc cổng truy cập đặc quyền). Không cho phép truy cập trực tiếp từ Internet vào giao diện quản trị.
PHẦN II – MÔ HÌNH PHÂN QUYỀN RBAC VÀ ABAC
Điều 3. Phân quyền theo vai trò và theo thuộc tính
3.1. Quyền truy cập được cấp theo vai trò (Role-Based Access Control – RBAC): mỗi vai trò gắn với một tập quyền tối thiểu cần thiết để hoàn thành chức năng công việc. Người dùng được gán vai trò, không được gán quyền trực tiếp, trừ trường hợp ngoại lệ có phê duyệt.
3.2. Đối với tài nguyên nhạy cảm, HiTechCloud bổ sung kiểm soát theo thuộc tính (Attribute-Based Access Control – ABAC), xét thêm các thuộc tính bối cảnh như thời gian truy cập, dải địa chỉ IP nguồn, tình trạng tuân thủ của thiết bị và mức phân loại của dữ liệu.
Điều 4. Ma trận vai trò – quyền và trách nhiệm của Khách hàng
4.1. Ma trận vai trò – quyền được lập thành văn bản, có chủ sở hữu và được phê duyệt bởi Bộ phận An toàn Thông tin trước khi áp dụng. Mọi thay đổi ma trận đều phải qua quy trình quản lý thay đổi.
4.2. Đối với dịch vụ đám mây, Khách hàng tự quản trị phân quyền cho người dùng thuộc tổ chức mình thông qua công cụ quản lý danh tính và truy cập (Identity and Access Management – IAM) do HiTechCloud cung cấp, và chịu trách nhiệm về việc phân quyền đó.
PHẦN III – ĐẶC QUYỀN TỐI THIỂU VÀ TRUY CẬP TỨC THỜI
Điều 5. Nguyên tắc đặc quyền tối thiểu
5.1. Nguyên tắc đặc quyền tối thiểu (Least Privilege) được áp dụng bắt buộc: người dùng chỉ được cấp mức quyền thấp nhất đủ để thực hiện nhiệm vụ, trong phạm vi tài nguyên hẹp nhất và trong thời gian ngắn nhất cần thiết.
Điều 6. Truy cập tức thời và tài khoản dịch vụ
6.1. Quyền quản trị thường trực (standing privilege) bị hạn chế tối đa. HiTechCloud áp dụng cơ chế truy cập tức thời (Just-In-Time Access): quyền đặc quyền chỉ được kích hoạt theo yêu cầu có lý do công việc rõ ràng, có phê duyệt và tự động hết hiệu lực sau thời hạn đã cấp, thông thường không quá 08 (tám) giờ.
6.2. Mọi phiên truy cập đặc quyền được ghi nhật ký chi tiết, có thể ghi hình phiên làm việc đối với tác vụ trên hệ thống trọng yếu, và được đối chiếu với yêu cầu công việc đã phê duyệt.
6.3. Tài khoản dịch vụ và tài khoản tự động hoá được cấp quyền theo phạm vi hẹp, không được sử dụng để đăng nhập tương tác và phải sử dụng thông tin xác thực được lưu trong kho bí mật (secret vault) với vòng đời luân chuyển tự động.
PHẦN IV – QUẢN LÝ TÀI KHOẢN ĐẶC QUYỀN
Điều 7. Giải pháp quản lý truy cập đặc quyền
7.1. HiTechCloud triển khai giải pháp Quản lý Truy cập Đặc quyền (Privileged Access Management – PAM) để quản lý tập trung toàn bộ tài khoản quản trị hệ thống, quản trị cơ sở dữ liệu, quản trị thiết bị mạng và tài khoản gốc (root hoặc administrator).
7.2. Mật khẩu tài khoản đặc quyền được lưu trong kho bảo mật, không được biết trực tiếp bởi người sử dụng, được cấp phát theo phiên và tự động thay đổi sau mỗi lần sử dụng hoặc tối đa 30 (ba mươi) ngày một lần.
Điều 8. Định danh cá nhân và quy trình khẩn cấp
8.1. Nghiêm cấm dùng chung tài khoản đặc quyền giữa nhiều cá nhân mà không định danh được người thực hiện. Mọi hành động đặc quyền phải quy trách nhiệm được tới một cá nhân cụ thể.
8.2. Tài khoản gốc của hệ thống trọng yếu chỉ được sử dụng trong tình huống khẩn cấp theo quy trình “break-glass” có phê duyệt của lãnh đạo, được cảnh báo tự động tới Bộ phận An toàn Thông tin và phải được rà soát hậu kiểm trong 24 (hai mươi bốn) giờ.
PHẦN V – XÁC THỰC VÀ XÁC THỰC ĐA YẾU TỐ
Điều 9. Phạm vi bắt buộc áp dụng xác thực đa yếu tố
9.1. Xác thực đa yếu tố (Multi-Factor Authentication – MFA) là bắt buộc đối với: toàn bộ tài khoản quản trị hệ thống, tài khoản truy cập từ xa, tài khoản truy cập bảng điều khiển quản trị đám mây và tài khoản có quyền truy cập dữ liệu mức Mật hoặc Tối mật.
9.2. HiTechCloud khuyến nghị và cung cấp cho Khách hàng khả năng bật xác thực đa yếu tố cho tài khoản quản trị dịch vụ. Khách hàng không bật xác thực đa yếu tố tự chịu rủi ro phát sinh từ việc tài khoản bị chiếm đoạt do lộ mật khẩu.
Điều 10. Chính sách mật khẩu và quản lý phiên
10.1. Chính sách mật khẩu tối thiểu: độ dài từ 12 (mười hai) ký tự trở lên, kết hợp nhiều loại ký tự, không trùng với các mật khẩu đã bị lộ trong các sự cố công khai, không tái sử dụng 05 (năm) mật khẩu gần nhất. Hệ thống khoá tạm thời tài khoản sau số lần đăng nhập sai liên tiếp theo ngưỡng cấu hình.
10.2. Phiên đăng nhập tự động hết hạn sau thời gian không hoạt động. Phiên quản trị bị chấm dứt bắt buộc khi phát hiện thay đổi bối cảnh bất thường như thay đổi địa chỉ IP quốc gia hoặc dấu hiệu chiếm đoạt phiên.
PHẦN VI – VÒNG ĐỜI TÀI KHOẢN VÀ THU HỒI QUYỀN
Điều 11. Cấp, thay đổi và thu hồi quyền
11.1. Việc cấp mới, thay đổi hoặc thu hồi quyền truy cập chỉ được thực hiện trên cơ sở yêu cầu có phê duyệt của người quản lý trực tiếp và Bộ phận An toàn Thông tin, được ghi nhận trong hệ thống quản lý yêu cầu.
11.2. Khi người lao động chấm dứt hợp đồng, nghỉ việc, tạm hoãn thực hiện hợp đồng hoặc bị đình chỉ công tác, toàn bộ quyền truy cập vào hệ thống, ứng dụng và dữ liệu phải được thu hồi hoặc vô hiệu hoá trong thời hạn tối đa 24 (hai mươi bốn) giờ kể từ thời điểm có hiệu lực.
11.3. Khi người lao động thay đổi vị trí công tác, quyền truy cập cũ phải được rà soát và loại bỏ phần không còn cần thiết trong 05 (năm) ngày làm việc, tránh tình trạng tích luỹ quyền (privilege creep).
Điều 12. Tài khoản không hoạt động
12.1. Tài khoản không hoạt động liên tục quá 90 (chín mươi) ngày được tự động vô hiệu hoá. Tài khoản bị vô hiệu hoá quá 12 (mười hai) tháng được xoá sau khi lưu trữ nhật ký liên quan theo quy định.
PHẦN VII – RÀ SOÁT QUYỀN TRUY CẬP ĐỊNH KỲ
Điều 13. Tần suất và trách nhiệm rà soát
13.1. HiTechCloud thực hiện rà soát toàn bộ quyền truy cập tối thiểu 06 (sáu) tháng một lần. Riêng tài khoản đặc quyền và tài khoản bên thứ ba được rà soát tối thiểu 03 (ba) tháng một lần.
13.2. Chủ sở hữu hệ thống và người quản lý trực tiếp có trách nhiệm xác nhận từng quyền truy cập còn cần thiết hay không. Quyền không được xác nhận trong kỳ rà soát sẽ bị thu hồi mặc định.
13.3. Kết quả rà soát được lập thành biên bản, ghi rõ số quyền được giữ, số quyền bị thu hồi, các bất thường phát hiện và hành động khắc phục. Biên bản được lưu tối thiểu 03 (ba) năm.
PHẦN VIII – GIÁM SÁT, GHI NHẬN VÀ XỬ LÝ VI PHẠM
Điều 14. Ghi nhật ký và cảnh báo
14.1. Mọi sự kiện đăng nhập thành công, đăng nhập thất bại, thay đổi quyền, kích hoạt quyền đặc quyền và truy cập dữ liệu nhạy cảm đều được ghi nhật ký và chuyển về hệ thống quản lý thông tin và sự kiện an ninh (SIEM) theo Chính sách Giám sát và Ghi nhật ký.
14.2. Hệ thống tự động cảnh báo khi phát hiện dấu hiệu bất thường: đăng nhập từ vị trí địa lý bất thường, nhiều lần đăng nhập thất bại liên tiếp, truy cập ngoài giờ làm việc không có phê duyệt, hoặc thay đổi quyền đặc quyền không qua quy trình.
Điều 15. Xử lý vi phạm và trách nhiệm của Khách hàng
15.1. Hành vi chia sẻ thông tin xác thực, sử dụng tài khoản của người khác, cố ý vượt quyền hoặc vô hiệu hoá cơ chế kiểm soát truy cập bị coi là vi phạm nghiêm trọng, dẫn tới thu hồi quyền ngay lập tức, xử lý kỷ luật và có thể bị chuyển hồ sơ tới cơ quan nhà nước có thẩm quyền.
15.2. Khách hàng có nghĩa vụ bảo mật thông tin đăng nhập của mình và của người dùng thuộc tổ chức mình. HiTechCloud không chịu trách nhiệm đối với thiệt hại phát sinh do Khách hàng làm lộ thông tin xác thực, chia sẻ tài khoản hoặc không thu hồi quyền của nhân sự đã nghỉ việc.
PHẦN IX – ĐIỀU KHOẢN CHUNG VÀ HIỆU LỰC
Điều 16. Quan hệ với các văn bản khác và giá trị chữ ký điện tử
16.1. Chính sách này áp dụng đồng thời với Chính sách Bảo mật Hệ thống Thông tin, Chính sách Giám sát và Ghi nhật ký và các quy trình kỹ thuật liên quan của HiTechCloud.
16.2. Các văn bản, biên bản, thông báo và xác nhận phát sinh theo văn bản này được ký bằng chữ ký số hợp lệ theo Luật Giao dịch điện tử số 20/2023/QH15 và Nghị định số 23/2025/NĐ-CP về chữ ký điện tử và dịch vụ tin cậy, có giá trị pháp lý tương đương văn bản ký trực tiếp và đóng dấu.
Điều 17. Giới hạn trách nhiệm và giải quyết tranh chấp
17.1. Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến văn bản này trong mọi trường hợp không vượt quá tổng phí dịch vụ Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất. HiTechCloud không chịu trách nhiệm đối với thiệt hại gián tiếp, thiệt hại hệ quả, lợi nhuận hoặc cơ hội kinh doanh bị mất.
17.2. Mọi tranh chấp phát sinh trước hết được giải quyết bằng thương lượng, hoà giải trong 30 (ba mươi) ngày. Nếu không đạt kết quả, tranh chấp được đưa ra giải quyết tại Toà án nhân dân có thẩm quyền tại Thành phố Hồ Chí Minh theo pháp luật Việt Nam.
Điều 18. Hiệu lực, rà soát và sửa đổi
18.1. Văn bản này được rà soát định kỳ tối thiểu 01 (một) lần mỗi năm hoặc khi có thay đổi quan trọng về pháp luật, công nghệ, mô hình vận hành. Mọi sửa đổi được thông báo trước 30 (ba mươi) ngày trên https://hitechcloud.vn/tai-lieu-ho-tro/.
18.2. Văn bản này là bộ phận không tách rời của Thoả thuận Sử dụng Dịch vụ và được công bố tại https://hitechcloud.vn/tai-lieu-ho-tro/.
18.3. Đầu mối tiếp nhận: hotline 0865.920.041; thư điện tử cskh@photuesoftware.com đối với yêu cầu hỗ trợ và khiếu nại dịch vụ; thư điện tử hoadon@photuesoftware.com đối với yêu cầu liên quan đến hoá đơn, thanh toán và hoàn tiền.
PHẦN X – CĂN CỨ PHÁP LÝ
- Luật An ninh mạng – số 116/2025/QH15, ngày ban hành 10/12/2025, có hiệu lực từ 01/07/2026 (Điều 44 khoản 2 bãi bỏ Luật An toàn thông tin mạng số 86/2015/QH13 và Luật An ninh mạng số 24/2018/QH14 kể từ ngày 01/07/2026)
- Nghị định về bảo vệ an ninh mạng đối với hệ thống thông tin – số 331/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026 (Quy định cấp độ hệ thống thông tin; thay thế vai trò của Nghị định số 85/2016/NĐ-CP và Thông tư số 12/2022/TT-BTTTT)
- Luật Bảo vệ dữ liệu cá nhân – số 91/2025/QH15, ngày ban hành 26/06/2025, có hiệu lực từ 01/01/2026 (Nghị định số 13/2023/NĐ-CP hết hiệu lực từ ngày 01/01/2026 theo khoản 2 Điều 42 Nghị định số 356/2025/NĐ-CP)
- Nghị định quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân – số 356/2025/NĐ-CP, ngày ban hành 31/12/2025, có hiệu lực từ 01/01/2026
- Luật Giao dịch điện tử – số 20/2023/QH15, ngày ban hành 22/06/2023, có hiệu lực từ 01/07/2024
- Nghị định quy định về chữ ký điện tử và dịch vụ tin cậy – số 23/2025/NĐ-CP, ngày ban hành 21/02/2025, có hiệu lực từ 10/04/2025 (Bãi bỏ Nghị định số 130/2018/NĐ-CP)
- ISO/IEC 27001:2022 và TCVN ISO/IEC 27001:2019 – Hệ thống quản lý an toàn thông tin (Tiêu chuẩn tham chiếu, không phải văn bản quy phạm pháp luật)
- NIST SP 800-53 Rev.5 và NIST SP 800-207 (Zero Trust Architecture) (Thông lệ tốt tham chiếu)
Cập nhật theo khung pháp lý 2026-2027
Phần này bổ sung các nội dung bắt buộc theo pháp luật có hiệu lực trong năm 2026-2027 và là bộ phận không tách rời của văn bản. Trường hợp có mâu thuẫn với nội dung phía trên, phần này được ưu tiên áp dụng.
Thông báo sự cố an toàn thông tin và vi phạm dữ liệu cá nhân
Khi phát hiện sự cố an toàn thông tin hoặc sự cố lộ, mất, xâm phạm dữ liệu cá nhân có ảnh hưởng đến dữ liệu của Khách hàng, HiTechCloud thực hiện:
- Thông báo cho Khách hàng không chậm hơn 24 (hai mươi bốn) giờ kể từ thời điểm phát hiện, qua kênh liên hệ khẩn cấp đã đăng ký, kèm thông tin ban đầu về thời điểm, phạm vi, loại dữ liệu bị ảnh hưởng và biện pháp đã triển khai;
- Phối hợp với Khách hàng thực hiện nghĩa vụ thông báo cho cơ quan nhà nước có thẩm quyền trong thời hạn 72 (bảy mươi hai) giờ theo Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, và thông báo cho chủ thể dữ liệu khi pháp luật yêu cầu;
- Cung cấp báo cáo điều tra nguyên nhân gốc và kế hoạch khắc phục trong vòng 15 (mười lăm) ngày kể từ ngày thông báo ban đầu;
- Không đưa ra công bố công khai gắn tên Khách hàng về sự cố nếu chưa có sự thống nhất bằng văn bản, trừ trường hợp pháp luật bắt buộc.
Khách hàng có nghĩa vụ đối ứng tương tự trong vòng 24 giờ đối với sự cố phát sinh từ phía Khách hàng có ảnh hưởng đến hệ thống của HiTechCloud.
Tuân thủ pháp luật thương mại điện tử
Hoạt động cung cấp dịch vụ qua website, ứng dụng di động và nền tảng số của HiTechCloud tuân thủ 電子商取引法第122/2025/QH15号 および Nghị định số 248/2026/NĐ-CP quy định chi tiết một số điều của Luật Thương mại điện tử, bao gồm nghĩa vụ công bố thông tin về chủ thể cung cấp dịch vụ, giá và điều kiện giao dịch chung, quy trình giao kết hợp đồng điện tử cho phép Khách hàng rà soát và xác nhận nội dung trước khi giao kết, lưu trữ chứng từ giao dịch, và cơ chế tiếp nhận, giải quyết khiếu nại.
Hóa đơn điện tử, chứng từ điện tử và nghĩa vụ thuế
HiTechCloud lập và gửi hóa đơn điện tử theo Luật Quản lý thuế số 108/2025/QH15, Nghị định số 254/2026/NĐ-CP quy định chi tiết một số điều và biện pháp để tổ chức, hướng dẫn thi hành Luật Quản lý thuế số 108/2025/QH15 về hóa đơn điện tử, chứng từ điện tử および Thông tư số 91/2026/TT-BTC. Các nội dung về quản lý thuế thực hiện theo Nghị định số 252/2026/NĐ-CP および Thông tư số 89/2026/TT-BTC.
- Hóa đơn được lập tại thời điểm hoàn thành việc cung cấp dịch vụ hoặc tại thời điểm thu tiền, tùy thời điểm nào đến trước; dịch vụ theo chu kỳ thì lập theo từng chu kỳ đã thỏa thuận.
- Khách hàng cung cấp chính xác thông tin định danh phục vụ lập hóa đơn và thông báo thay đổi trong 05 (năm) ngày làm việc.
- Hóa đơn có sai sót được thông báo trong 03 (ba) ngày làm việc và xử lý theo trình tự tại Nghị định số 254/2026/NĐ-CP và Thông tư số 91/2026/TT-BTC.
- Báo giá, đề nghị thanh toán, biên bản bàn giao, nghiệm thu, đối soát công nợ được lập dưới dạng chứng từ điện tử ký số, có giá trị pháp lý tương đương chứng từ giấy theo Luật Giao dịch điện tử số 20/2023/QH15 và Nghị định số 23/2025/NĐ-CP.
Mức trần trách nhiệm, các ngoại lệ và biện pháp bồi thường
Các quy định dưới đây được áp dụng theo Phụ lục cập nhật Tiêu chuẩn pháp lý năm 2026 và Phụ lục cập nhật Điều khoản dịch vụ năm 2026 do HiTechCloud ban hành, áp dụng thống nhất cho toàn bộ hệ thống điều khoản, tiêu chuẩn pháp lý dịch vụ và chính sách của HiTechCloud. Trường hợp có mâu thuẫn với nội dung phía trên, quy định tại phần này được áp dụng.
Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến Dịch vụ, với mọi căn cứ pháp lý cộng gộp, không vượt quá tổng phí dịch vụ mà Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất trước thời điểm phát sinh sự kiện gây thiệt hại. Đây là công thức thống nhất cho toàn bộ hệ thống văn bản của HiTechCloud; mọi công thức khác quy định tại văn bản này được hiểu theo công thức này.
Giới hạn trách nhiệm nêu trên KHÔNG áp dụng đối với: (i) lỗi cố ý hoặc gian lận; (ii) vi phạm nghĩa vụ bảo mật và bảo vệ dữ liệu cá nhân; (iii) xâm phạm quyền sở hữu trí tuệ; (iv) thiệt hại về tính mạng, sức khỏe; (v) hoàn trả tiền giữ hộ hoặc thu không có căn cứ; (vi) trách nhiệm mà pháp luật không cho phép loại trừ.
Biện pháp giảm trừ phí khi vi phạm cam kết mức độ dịch vụ là biện pháp bồi thường chính, không phải biện pháp duy nhất; Khách hàng bảo lưu quyền yêu cầu bồi thường thiệt hại thực tế theo Bộ luật Dân sự số 91/2015/QH13 và Luật Thương mại số 36/2005/QH11 trong các trường hợp nêu tại đoạn trên.
Yêu cầu bồi hoàn, giảm trừ phí theo cam kết mức độ dịch vụ được Khách hàng gửi bằng văn bản hoặc qua hệ thống phiếu yêu cầu (ticket) trong thời hạn 30 (ba mươi) ngày kể từ ngày kết thúc chu kỳ thanh toán có sự cố. Trường hợp sự cố kéo dài qua nhiều chu kỳ, thời hạn được tính từ ngày HiTechCloud xác nhận đã khắc phục xong sự cố. Quá thời hạn này, quyền yêu cầu bồi hoàn chấm dứt; quy định này không làm thay đổi thời hiệu khởi kiện mà pháp luật quy định là bắt buộc.
Các quy định về mức trần bồi hoàn và các trường hợp loại trừ không được áp dụng để hạn chế, loại trừ hoặc gây cản trở các quyền mà pháp luật về bảo vệ quyền lợi người tiêu dùng và pháp luật về bảo vệ dữ liệu cá nhân dành cho Khách hàng. Trường hợp bất kỳ nội dung nào của văn bản này hạn chế quyền của Khách hàng là người tiêu dùng ở mức thấp hơn quy định của pháp luật, quy định của pháp luật được áp dụng theo khoản 1 Điều 25 Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15.
Chuẩn hóa theo quy định pháp luật
Bảo lưu các chế tài theo pháp luật thương mại
Việc áp dụng bồi hoàn dịch vụ hoặc giới hạn trách nhiệm theo văn bản này không làm mất quyền của Bên bị vi phạm được áp dụng các chế tài khác theo Điều 292 Luật Thương mại số 36/2005/QH11, bao gồm buộc thực hiện đúng hợp đồng, phạt vi phạm, buộc bồi thường thiệt hại, tạm ngừng thực hiện hợp đồng, đình chỉ thực hiện hợp đồng và hủy bỏ hợp đồng. Lãi chậm thanh toán theo Điều 306 Luật Thương mại là chế định độc lập, không thuộc phạm vi giới hạn mức phạt 8% quy định tại Điều 301 Luật này.
Phân vai xử lý dữ liệu cá nhân
Trong quan hệ cung cấp dịch vụ theo văn bản này: Khách hàng là Bên Kiểm soát dữ liệu cá nhân đối với dữ liệu cá nhân của khách hàng, người dùng cuối, nhân sự và đối tác của Khách hàng được đưa vào, lưu trữ hoặc xử lý trên dịch vụ, và chịu trách nhiệm về căn cứ pháp lý của việc xử lý. HiTechCloud là Bên Xử lý dữ liệu cá nhân, chỉ xử lý theo phạm vi, mục đích và chỉ dẫn hợp pháp bằng văn bản của Khách hàng nhằm cung cấp dịch vụ, không sử dụng cho mục đích khác, không bán và không chuyển giao trái phép. Đối với phần dữ liệu HiTechCloud buộc phải xử lý để thực hiện nghĩa vụ luật định của chính mình (kê khai thuế, lưu nhật ký hệ thống, phòng chống gian lận, đáp ứng yêu cầu của cơ quan nhà nước có thẩm quyền), HiTechCloud là Bên Kiểm soát dữ liệu độc lập đối với phần dữ liệu đó.
