Quy trình thông báo vi phạm dữ liệu cá nhân
PHẦN I – MỤC ĐÍCH, PHẠM VI VÀ VAI TRÒ CỦA CÁC BÊN
조 1. 목적
1.1. Quy trình này quy định cách thức Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (thương hiệu HiTechCloud) phát hiện, đánh giá, thông báo và khắc phục vi phạm quy định về bảo vệ dữ liệu cá nhân, bảo đảm tuân thủ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP.
1.2. “Vi phạm dữ liệu cá nhân” được hiểu là sự kiện dẫn tới việc dữ liệu cá nhân bị truy cập trái phép, tiết lộ, thay đổi, mất mát, huỷ hoại hoặc bị xử lý không đúng quy định, dù do hành vi cố ý, vô ý, tấn công mạng hay lỗi kỹ thuật.
Điều 2. Vai trò của các Bên
2.1. Đối với dữ liệu cá nhân do Khách hàng thu thập và lưu trữ trên hạ tầng Dịch vụ: Khách hàng là Bên Kiểm soát dữ liệu cá nhân hoặc Bên Kiểm soát và xử lý dữ liệu cá nhân; HiTechCloud là Bên Xử lý dữ liệu cá nhân và chỉ xử lý trong phạm vi cần thiết để cung cấp Dịch vụ theo chỉ dẫn hợp pháp của Khách hàng, phù hợp với khoản 8 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
2.2. Trong vai trò Bên Xử lý dữ liệu cá nhân, khi phát hiện vi phạm liên quan tới dữ liệu cá nhân trên hạ tầng Dịch vụ, HiTechCloud có nghĩa vụ thông báo kịp thời cho Khách hàng để Khách hàng thực hiện nghĩa vụ thông báo của Bên Kiểm soát theo Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
2.3. Đối với dữ liệu cá nhân mà chính HiTechCloud là Bên Kiểm soát hoặc Bên Kiểm soát và xử lý (dữ liệu người lao động, dữ liệu liên hệ khách hàng, dữ liệu đăng ký tài khoản), HiTechCloud trực tiếp thực hiện toàn bộ nghĩa vụ thông báo theo Quy trình này.
PHẦN II – PHÁT HIỆN VÀ TIẾP NHẬN THÔNG TIN VI PHẠM
Điều 3. Nguồn phát hiện
3.1. Nguồn phát hiện vi phạm gồm: cảnh báo tự động từ hệ thống SIEM, EDR và giải pháp chống thất thoát dữ liệu (DLP); báo cáo nội bộ của người lao động; phản ánh của Khách hàng hoặc chủ thể dữ liệu; thông báo của nhà cung cấp, đối tác; cảnh báo của cơ quan nhà nước có thẩm quyền hoặc nhà nghiên cứu bảo mật.
Điều 4. Nghĩa vụ báo cáo nội bộ và mở hồ sơ
4.1. Mọi nghi ngờ về vi phạm dữ liệu cá nhân phải được báo cáo ngay lập tức, không chậm hơn 02 (hai) giờ kể từ khi phát hiện, tới Bộ phận An toàn Thông tin và bộ phận, nhân sự bảo vệ dữ liệu cá nhân của HiTechCloud được chỉ định theo khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
4.2. Hồ sơ vụ việc được mở ngay khi tiếp nhận, ghi nhận: thời điểm phát hiện, người phát hiện, mô tả sự việc ban đầu, hệ thống liên quan và các biện pháp khẩn cấp đã áp dụng.
PHẦN III – ĐÁNH GIÁ MỨC ĐỘ VÀ PHẠM VI ẢNH HƯỞNG
Điều 5. Xác định phạm vi
5.1. Trong vòng 24 (hai mươi bốn) giờ kể từ khi tiếp nhận, HiTechCloud phải xác định sơ bộ: loại dữ liệu cá nhân bị ảnh hưởng (dữ liệu cá nhân cơ bản theo Điều 3 hoặc dữ liệu cá nhân nhạy cảm theo Điều 4 Nghị định số 356/2025/NĐ-CP), số lượng chủ thể dữ liệu bị ảnh hưởng, nguyên nhân, thời điểm bắt đầu và tình trạng vi phạm đã được ngăn chặn hay chưa.
Điều 6. Đánh giá rủi ro
6.1. Mức độ rủi ro đối với chủ thể dữ liệu được đánh giá theo các tiêu chí: khả năng bị lợi dụng để chiếm đoạt tài sản, giả mạo danh tính, phân biệt đối xử, tổn hại danh dự – nhân phẩm – uy tín, tổn hại sức khoẻ – tinh thần và khả năng khắc phục hậu quả.
6.2. Trường hợp dữ liệu bị ảnh hưởng đã được mã hoá mạnh và khoá mã hoá không bị lộ, hoặc đã được khử nhận dạng theo khoản 11 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, mức rủi ro được đánh giá thấp hơn nhưng vẫn phải ghi nhận đầy đủ trong hồ sơ.
6.3. Kết quả đánh giá được Chỉ huy sự cố và bộ phận, nhân sự bảo vệ dữ liệu cá nhân phê duyệt, làm cơ sở quyết định phạm vi và mức độ thông báo tại Phần IV và Phần V.
PHẦN IV – THÔNG BÁO CHO BÊN KIỂM SOÁT DỮ LIỆU CÁ NHÂN
Điều 7. Thời hạn thông báo của Bên Xử lý
7.1. Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 quy định Bên Xử lý dữ liệu cá nhân phải thông báo kịp thời cho Bên Kiểm soát dữ liệu cá nhân hoặc Bên Kiểm soát và xử lý dữ liệu cá nhân khi phát hiện vi phạm, nhưng không ấn định thời hạn cụ thể.
7.2. Nhằm bảo đảm Khách hàng có đủ thời gian thực hiện nghĩa vụ thông báo trong thời hạn 72 (bảy mươi hai) giờ theo luật định, HiTechCloud cam kết thông báo bằng văn bản hoặc thư điện tử tới Khách hàng chậm nhất 24 (hai mươi bốn) giờ kể từ thời điểm phát hiện vi phạm.
Điều 8. Thông báo nhiều đợt và đầu mối liên hệ
8.1. Trường hợp chưa thể xác định đầy đủ thông tin trong thời hạn nêu tại khoản 7.2, HiTechCloud vẫn phải thông báo lần đầu với các thông tin đã có, nêu rõ lý do chưa đầy đủ và cam kết thời điểm cung cấp thông tin bổ sung. Thông tin bổ sung được cung cấp theo từng đợt cho tới khi hoàn chỉnh.
8.2. Thông báo được gửi tới đầu mối liên hệ mà Khách hàng đã đăng ký. Khách hàng có nghĩa vụ duy trì và cập nhật thông tin đầu mối chính xác. HiTechCloud không chịu trách nhiệm về hậu quả do Khách hàng cung cấp thông tin liên hệ sai hoặc không cập nhật.
8.3. HiTechCloud phối hợp và cung cấp thông tin, tài liệu kỹ thuật cần thiết một cách hợp lý để Khách hàng thực hiện nghĩa vụ của Bên Kiểm soát theo quy định của pháp luật.
PHẦN V – THÔNG BÁO CƠ QUAN CHUYÊN TRÁCH VÀ CHỦ THỂ DỮ LIỆU
Điều 9. Thông báo cơ quan chuyên trách bảo vệ dữ liệu cá nhân
9.1. Đối với dữ liệu cá nhân mà HiTechCloud là Bên Kiểm soát hoặc Bên Kiểm soát và xử lý, HiTechCloud thực hiện thông báo tới Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an chậm nhất 72 (bảy mươi hai) giờ kể từ khi phát hiện hành vi vi phạm, theo khoản 1 Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
9.2. Nghĩa vụ thông báo nêu tại khoản 9.1 phát sinh khi hành vi vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khoẻ, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu.
9.3. Thông báo được lập theo Mẫu số 08 tại Phụ lục Nghị định số 356/2025/NĐ-CP và gửi tới Cơ quan chuyên trách bảo vệ dữ liệu cá nhân hoặc gửi qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.
9.4. HiTechCloud lập biên bản xác nhận việc xảy ra hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân và phối hợp với Cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo khoản 2 Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
Điều 10. Thông báo cho chủ thể dữ liệu
10.1. Đối với vi phạm liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, HiTechCloud thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 (bảy mươi hai) giờ kể từ thời điểm phát hiện vi phạm, theo Điều 29 Nghị định số 356/2025/NĐ-CP.
10.2. Nội dung thông báo cho chủ thể dữ liệu theo khoản 10.1 gồm tối thiểu:
- thời điểm và hình thức phát hiện vi phạm;
- loại dữ liệu cá nhân bị ảnh hưởng;
- mức độ nghiêm trọng và rủi ro có thể phát sinh đối với chủ thể dữ liệu;
- biện pháp khắc phục đã và đang được áp dụng;
- hướng dẫn chủ thể dữ liệu phòng ngừa rủi ro;
- thông tin liên hệ của bộ phận, nhân sự bảo vệ dữ liệu cá nhân.
10.3. Trường hợp không thể thông báo tới toàn bộ chủ thể dữ liệu trong thời hạn nêu trên vì lý do kỹ thuật hoặc tình huống khẩn cấp, HiTechCloud thông báo công khai trên website hoặc ứng dụng và gửi thông báo riêng ngay khi có điều kiện.
10.4. Ngoài trường hợp bắt buộc nêu tại khoản 10.1, HiTechCloud chủ động thông báo cho chủ thể dữ liệu khi đánh giá vi phạm có khả năng gây rủi ro cao tới quyền và lợi ích hợp pháp của họ. Ngôn ngữ thông báo phải rõ ràng, dễ hiểu, không sử dụng thuật ngữ kỹ thuật gây khó hiểu, kèm hướng dẫn cụ thể các bước tự bảo vệ.
PHẦN VI – NỘI DUNG BẮT BUỘC CỦA THÔNG BÁO
Điều 11. Các nội dung theo Điều 28 Nghị định số 356/2025/NĐ-CP
11.1. Mô tả tính chất của việc vi phạm quy định bảo vệ dữ liệu cá nhân, bao gồm: thời gian, địa điểm, hành vi vi phạm, tổ chức và cá nhân liên quan, các loại dữ liệu cá nhân bị vi phạm và số lượng chủ thể dữ liệu bị ảnh hưởng.
11.2. Thông tin liên hệ của bộ phận, nhân sự được giao phụ trách bảo vệ dữ liệu cá nhân, bao gồm họ tên, chức vụ, số điện thoại và địa chỉ thư điện tử để tiếp nhận trao đổi và khiếu nại.
11.3. Mô tả hậu quả và thiệt hại có thể xảy ra đối với chủ thể dữ liệu, cùng đánh giá mức độ rủi ro và khả năng lan rộng của hậu quả.
11.4. Mô tả các biện pháp đã và đang được áp dụng để khắc phục, ngăn chặn hậu quả, hạn chế thiệt hại và ngăn ngừa vi phạm tương tự tái diễn.
11.5. Toàn bộ nội dung thông báo phải trung thực và đầy đủ. Nghiêm cấm che giấu, làm sai lệch thông tin hoặc trì hoãn thông báo nhằm giảm nhẹ trách nhiệm.
PHẦN VII – BIỆN PHÁP KHẮC PHỤC VÀ HỖ TRỢ CHỦ THỂ DỮ LIỆU
Điều 12. Ngăn chặn và khắc phục
12.1. Ngay khi xác nhận vi phạm, HiTechCloud áp dụng các biện pháp ngăn chặn tức thời theo Quy trình Ứng phó Sự cố An toàn Thông tin: cách ly hệ thống, khoá tài khoản bị chiếm đoạt, đặt lại thông tin xác thực, thu hồi khoá mã hoá và chặn kênh rò rỉ.
12.2. HiTechCloud rà soát nguyên nhân gốc và triển khai biện pháp phòng ngừa: vá lỗ hổng, siết chặt phân quyền, bổ sung mã hoá, tăng cường quy tắc giám sát và đào tạo lại nhân sự liên quan. Trong thời hạn 15 (mười lăm) ngày kể từ ngày thông báo ban đầu theo khoản 7.2, HiTechCloud gửi Khách hàng báo cáo phân tích nguyên nhân gốc kèm kế hoạch khắc phục, nêu rõ biện pháp, bộ phận chịu trách nhiệm và mốc thời gian hoàn thành; trường hợp chưa hoàn tất điều tra, HiTechCloud gửi báo cáo tạm thời trong thời hạn nêu trên và bổ sung theo từng đợt cho tới khi hoàn chỉnh.
Điều 13. Hỗ trợ chủ thể dữ liệu và bồi thường
13.1. HiTechCloud hướng dẫn chủ thể dữ liệu các biện pháp tự bảo vệ như đổi mật khẩu, bật xác thực đa yếu tố, theo dõi giao dịch bất thường và cảnh giác với các hành vi lừa đảo lợi dụng thông tin bị lộ.
13.2. Việc bồi thường thiệt hại (nếu có) được xác định theo quy định của pháp luật dân sự và thoả thuận giữa các Bên. Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến văn bản này trong mọi trường hợp không vượt quá tổng phí dịch vụ Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất. HiTechCloud không chịu trách nhiệm đối với thiệt hại gián tiếp, thiệt hại hệ quả, lợi nhuận hoặc cơ hội kinh doanh bị mất.
PHẦN VIII – HỒ SƠ, LƯU TRỮ VÀ BÁO CÁO
Điều 14. Lập và lưu trữ hồ sơ
14.1. HiTechCloud lập và lưu giữ hồ sơ đối với mọi vi phạm dữ liệu cá nhân, kể cả vi phạm không thuộc trường hợp phải thông báo tới cơ quan chuyên trách, gồm: diễn biến theo dòng thời gian, đánh giá rủi ro, quyết định thông báo hoặc không thông báo kèm lý do, nội dung thông báo đã gửi và biện pháp khắc phục.
14.2. Hồ sơ vi phạm dữ liệu cá nhân được lưu trữ tối thiểu 05 (năm) năm kể từ ngày khắc phục xong sự cố, phù hợp với điểm c khoản 1 Điều 29 Nghị định số 356/2025/NĐ-CP, và được xuất trình khi cơ quan nhà nước có thẩm quyền yêu cầu.
Điều 15. Báo cáo nội bộ
15.1. Bộ phận, nhân sự bảo vệ dữ liệu cá nhân báo cáo Ban Giám đốc về tình hình vi phạm dữ liệu cá nhân tối thiểu 06 (sáu) tháng một lần, kèm phân tích xu hướng và kiến nghị cải tiến.
PHẦN IX – TRÁCH NHIỆM CỦA KHÁCH HÀNG VÀ HIỆU LỰC
Điều 16. Nghĩa vụ của Khách hàng
16.1. Khách hàng có nghĩa vụ thông báo cho HiTechCloud trong thời hạn 24 (hai mươi bốn) giờ khi phát hiện vi phạm dữ liệu cá nhân xảy ra trên hệ thống, ứng dụng hoặc tài khoản thuộc phạm vi quản trị của mình có liên quan tới hạ tầng Dịch vụ.
16.2. Khách hàng chịu trách nhiệm về việc thu thập dữ liệu cá nhân đúng pháp luật, có sự đồng ý hợp lệ của chủ thể dữ liệu và thực hiện đầy đủ nghĩa vụ của Bên Kiểm soát dữ liệu cá nhân, bao gồm lập và gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Điều 21 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Điều 19 Nghị định số 356/2025/NĐ-CP trong thời hạn 60 (sáu mươi) ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân.
16.3. Khách hàng lưu ý mức phạt vi phạm hành chính đối với hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo Điều 8 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, gồm: tối đa 10 (mười) lần khoản thu có được từ hành vi mua, bán dữ liệu cá nhân; tối đa 5% (năm phần trăm) doanh thu của năm trước liền kề đối với vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới; và tối đa 03 (ba) tỷ đồng đối với các vi phạm khác. Mức phạt đối với cá nhân bằng một phần hai mức phạt đối với tổ chức.
Điều 17. Giá trị pháp lý của văn bản điện tử và đầu mối
17.1. Các văn bản, biên bản, thông báo và xác nhận phát sinh theo văn bản này được ký bằng chữ ký số hợp lệ theo Luật Giao dịch điện tử số 20/2023/QH15 và Nghị định số 23/2025/NĐ-CP về chữ ký điện tử và dịch vụ tin cậy, có giá trị pháp lý tương đương văn bản ký trực tiếp và đóng dấu.
17.2. Đầu mối tiếp nhận: hotline 0865.920.041; thư điện tử cskh@photuesoftware.com đối với yêu cầu hỗ trợ và khiếu nại dịch vụ; thư điện tử hoadon@photuesoftware.com đối với yêu cầu liên quan đến hoá đơn, thanh toán và hoàn tiền; thư điện tử abuse@photuesoftware.com đối với phản ánh sự cố an toàn thông tin và lạm dụng dịch vụ.
Điều 18. Hiệu lực, rà soát và sửa đổi
18.1. Văn bản này được rà soát định kỳ tối thiểu 01 (một) lần mỗi năm hoặc khi có thay đổi quan trọng về pháp luật, công nghệ, mô hình vận hành. Mọi sửa đổi được thông báo trước 30 (ba mươi) ngày trên https://hitechcloud.vn/tai-lieu-ho-tro/.
18.2. Văn bản này là bộ phận không tách rời của Thoả thuận Sử dụng Dịch vụ và được công bố tại https://hitechcloud.vn/tai-lieu-ho-tro/.
PHẦN X – LUẬT ÁP DỤNG VÀ GIẢI QUYẾT TRANH CHẤP
Điều 19. Luật áp dụng và giải quyết tranh chấp
19.1. Văn bản này được điều chỉnh và giải thích theo pháp luật Việt Nam. Trường hợp bất kỳ điều khoản nào bị cơ quan nhà nước có thẩm quyền tuyên là vô hiệu hoặc không thể thi hành, các điều khoản còn lại vẫn giữ nguyên hiệu lực.
19.2. Mọi tranh chấp, khiếu nại phát sinh từ hoặc liên quan đến văn bản này trước hết được giải quyết bằng thương lượng thiện chí. Trình tự tiếp nhận và xử lý khiếu nại thực hiện theo Quy trình Khiếu nại và Giải quyết Tranh chấp.
19.3. Nếu thương lượng không đạt kết quả trong vòng 30 (ba mươi) ngày kể từ lần thương lượng đầu tiên, tranh chấp được đưa ra Toà án nhân dân có thẩm quyền tại Thành phố Hồ Chí Minh giải quyết theo pháp luật Việt Nam. Trường hợp các bên có thoả thuận trọng tài riêng bằng văn bản, thoả thuận trọng tài được ưu tiên áp dụng.
PHẦN XI – CĂN CỨ PHÁP LÝ
- Bộ luật Tố tụng dân sự số 92/2015/QH13 ngày 25/11/2015, có hiệu lực từ ngày 01/7/2016 — về thẩm quyền của Toà án và trình tự giải quyết tranh chấp dân sự, kinh doanh thương mại;
- Luật Trọng tài thương mại số 54/2010/QH12 ngày 17/6/2010, có hiệu lực từ ngày 01/01/2011 — về hiệu lực của thoả thuận trọng tài khi các bên lựa chọn trọng tài thay cho Toà án;
- Luật Bảo vệ dữ liệu cá nhân – số 91/2025/QH15, ngày ban hành 26/06/2025, có hiệu lực từ 01/01/2026 (Nghị định số 13/2023/NĐ-CP hết hiệu lực từ ngày 01/01/2026 theo khoản 2 Điều 42 Nghị định số 356/2025/NĐ-CP)
- Nghị định quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân – số 356/2025/NĐ-CP, ngày ban hành 31/12/2025, có hiệu lực từ 01/01/2026
- Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân – số 330/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026
- Luật An ninh mạng – số 116/2025/QH15, ngày ban hành 10/12/2025, có hiệu lực từ 01/07/2026 (Điều 44 khoản 2 bãi bỏ Luật An toàn thông tin mạng số 86/2015/QH13 và Luật An ninh mạng số 24/2018/QH14 kể từ ngày 01/07/2026)
- Nghị định quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng – số 333/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026 (Điều 9 quy định Mạng lưới ứng phó, khắc phục sự cố an ninh mạng quốc gia do Bộ Công an điều phối thống nhất; thay thế vai trò của Nghị định số 53/2022/NĐ-CP)
- Luật Giao dịch điện tử – số 20/2023/QH15, ngày ban hành 22/06/2023, có hiệu lực từ 01/07/2024
- Nghị định quy định về chữ ký điện tử và dịch vụ tin cậy – số 23/2025/NĐ-CP, ngày ban hành 21/02/2025, có hiệu lực từ 10/04/2025 (Bãi bỏ Nghị định số 130/2018/NĐ-CP)
- ISO/IEC 27001:2022 và TCVN ISO/IEC 27001:2019 – Hệ thống quản lý an toàn thông tin (Tiêu chuẩn tham chiếu, không phải văn bản quy phạm pháp luật)
Cập nhật theo khung pháp lý 2026-2027
Phần này bổ sung các nội dung bắt buộc theo pháp luật có hiệu lực trong năm 2026-2027 và là bộ phận không tách rời của văn bản. Trường hợp có mâu thuẫn với nội dung phía trên, phần này được ưu tiên áp dụng.
Thông báo sự cố an toàn thông tin và vi phạm dữ liệu cá nhân
Khi phát hiện sự cố an toàn thông tin hoặc sự cố lộ, mất, xâm phạm dữ liệu cá nhân có ảnh hưởng đến dữ liệu của Khách hàng, HiTechCloud thực hiện:
- Thông báo cho Khách hàng không chậm hơn 24 (hai mươi bốn) giờ kể từ thời điểm phát hiện, qua kênh liên hệ khẩn cấp đã đăng ký, kèm thông tin ban đầu về thời điểm, phạm vi, loại dữ liệu bị ảnh hưởng và biện pháp đã triển khai;
- Phối hợp với Khách hàng thực hiện nghĩa vụ thông báo cho cơ quan nhà nước có thẩm quyền trong thời hạn 72 (bảy mươi hai) giờ theo Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, và thông báo cho chủ thể dữ liệu khi pháp luật yêu cầu;
- Cung cấp báo cáo điều tra nguyên nhân gốc và kế hoạch khắc phục trong vòng 15 (mười lăm) ngày kể từ ngày thông báo ban đầu;
- Không đưa ra công bố công khai gắn tên Khách hàng về sự cố nếu chưa có sự thống nhất bằng văn bản, trừ trường hợp pháp luật bắt buộc.
Khách hàng có nghĩa vụ đối ứng tương tự trong vòng 24 giờ đối với sự cố phát sinh từ phía Khách hàng có ảnh hưởng đến hệ thống của HiTechCloud.
Tuân thủ pháp luật thương mại điện tử
Hoạt động cung cấp dịch vụ qua website, ứng dụng di động và nền tảng số của HiTechCloud tuân thủ 전자상거래 법률 제122/2025/QH15호 및 Nghị định số 248/2026/NĐ-CP quy định chi tiết một số điều của Luật Thương mại điện tử, bao gồm nghĩa vụ công bố thông tin về chủ thể cung cấp dịch vụ, giá và điều kiện giao dịch chung, quy trình giao kết hợp đồng điện tử cho phép Khách hàng rà soát và xác nhận nội dung trước khi giao kết, lưu trữ chứng từ giao dịch, và cơ chế tiếp nhận, giải quyết khiếu nại.
Hóa đơn điện tử, chứng từ điện tử và nghĩa vụ thuế
HiTechCloud lập và gửi hóa đơn điện tử theo Luật Quản lý thuế số 108/2025/QH15, Nghị định số 254/2026/NĐ-CP quy định chi tiết một số điều và biện pháp để tổ chức, hướng dẫn thi hành Luật Quản lý thuế số 108/2025/QH15 về hóa đơn điện tử, chứng từ điện tử 및 Thông tư số 91/2026/TT-BTC. Các nội dung về quản lý thuế thực hiện theo Nghị định số 252/2026/NĐ-CP 및 Thông tư số 89/2026/TT-BTC.
- Hóa đơn được lập tại thời điểm hoàn thành việc cung cấp dịch vụ hoặc tại thời điểm thu tiền, tùy thời điểm nào đến trước; dịch vụ theo chu kỳ thì lập theo từng chu kỳ đã thỏa thuận.
- Khách hàng cung cấp chính xác thông tin định danh phục vụ lập hóa đơn và thông báo thay đổi trong 05 (năm) ngày làm việc.
- Hóa đơn có sai sót được thông báo trong 03 (ba) ngày làm việc và xử lý theo trình tự tại Nghị định số 254/2026/NĐ-CP và Thông tư số 91/2026/TT-BTC.
- Báo giá, đề nghị thanh toán, biên bản bàn giao, nghiệm thu, đối soát công nợ được lập dưới dạng chứng từ điện tử ký số, có giá trị pháp lý tương đương chứng từ giấy theo Luật Giao dịch điện tử số 20/2023/QH15 và Nghị định số 23/2025/NĐ-CP.
Mức trần trách nhiệm, các ngoại lệ và biện pháp bồi thường
Các quy định dưới đây được áp dụng theo Phụ lục cập nhật Tiêu chuẩn pháp lý năm 2026 và Phụ lục cập nhật Điều khoản dịch vụ năm 2026 do HiTechCloud ban hành, áp dụng thống nhất cho toàn bộ hệ thống điều khoản, tiêu chuẩn pháp lý dịch vụ và chính sách của HiTechCloud. Trường hợp có mâu thuẫn với nội dung phía trên, quy định tại phần này được áp dụng.
Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến Dịch vụ, với mọi căn cứ pháp lý cộng gộp, không vượt quá tổng phí dịch vụ mà Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất trước thời điểm phát sinh sự kiện gây thiệt hại. Đây là công thức thống nhất cho toàn bộ hệ thống văn bản của HiTechCloud; mọi công thức khác quy định tại văn bản này được hiểu theo công thức này.
Giới hạn trách nhiệm nêu trên KHÔNG áp dụng đối với: (i) lỗi cố ý hoặc gian lận; (ii) vi phạm nghĩa vụ bảo mật và bảo vệ dữ liệu cá nhân; (iii) xâm phạm quyền sở hữu trí tuệ; (iv) thiệt hại về tính mạng, sức khỏe; (v) hoàn trả tiền giữ hộ hoặc thu không có căn cứ; (vi) trách nhiệm mà pháp luật không cho phép loại trừ.
Biện pháp giảm trừ phí khi vi phạm cam kết mức độ dịch vụ là biện pháp bồi thường chính, không phải biện pháp duy nhất; Khách hàng bảo lưu quyền yêu cầu bồi thường thiệt hại thực tế theo Bộ luật Dân sự số 91/2015/QH13 và Luật Thương mại số 36/2005/QH11 trong các trường hợp nêu tại đoạn trên.
Yêu cầu bồi hoàn, giảm trừ phí theo cam kết mức độ dịch vụ được Khách hàng gửi bằng văn bản hoặc qua hệ thống phiếu yêu cầu (ticket) trong thời hạn 30 (ba mươi) ngày kể từ ngày kết thúc chu kỳ thanh toán có sự cố. Trường hợp sự cố kéo dài qua nhiều chu kỳ, thời hạn được tính từ ngày HiTechCloud xác nhận đã khắc phục xong sự cố. Quá thời hạn này, quyền yêu cầu bồi hoàn chấm dứt; quy định này không làm thay đổi thời hiệu khởi kiện mà pháp luật quy định là bắt buộc.
Các quy định về mức trần bồi hoàn và các trường hợp loại trừ không được áp dụng để hạn chế, loại trừ hoặc gây cản trở các quyền mà pháp luật về bảo vệ quyền lợi người tiêu dùng và pháp luật về bảo vệ dữ liệu cá nhân dành cho Khách hàng. Trường hợp bất kỳ nội dung nào của văn bản này hạn chế quyền của Khách hàng là người tiêu dùng ở mức thấp hơn quy định của pháp luật, quy định của pháp luật được áp dụng theo khoản 1 Điều 25 Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15.
Chuẩn hóa theo quy định pháp luật
Bảo lưu các chế tài theo pháp luật thương mại
Việc áp dụng bồi hoàn dịch vụ hoặc giới hạn trách nhiệm theo văn bản này không làm mất quyền của Bên bị vi phạm được áp dụng các chế tài khác theo Điều 292 Luật Thương mại số 36/2005/QH11, bao gồm buộc thực hiện đúng hợp đồng, phạt vi phạm, buộc bồi thường thiệt hại, tạm ngừng thực hiện hợp đồng, đình chỉ thực hiện hợp đồng và hủy bỏ hợp đồng. Lãi chậm thanh toán theo Điều 306 Luật Thương mại là chế định độc lập, không thuộc phạm vi giới hạn mức phạt 8% quy định tại Điều 301 Luật này.
Nhật ký hệ thống và thời hạn lưu trữ
HiTechCloud ghi và lưu nhật ký hệ thống liên quan đến việc cung cấp dịch vụ tối thiểu 12 (mười hai) tháng nhằm phục vụ điều tra sự cố, đối soát và đáp ứng yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền. Nhật ký chứa dữ liệu cá nhân được bảo vệ theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, chỉ được truy cập theo nguyên tắc đặc quyền tối thiểu, và được xóa an toàn khi hết thời hạn lưu trữ hoặc khi không còn mục đích xử lý.
