Quy định chuyển dữ liệu cá nhân xuyên biên giới

PHẦN I – MỤC ĐÍCH, PHẠM VI VÀ GIẢI THÍCH TỪ NGỮ

Điều 1. Mục đích

1.1. Quy định này xác lập điều kiện, thủ tục và trách nhiệm khi Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (thương hiệu HiTechCloud) hoặc Khách hàng thực hiện chuyển dữ liệu cá nhân xuyên biên giới, tuân thủ Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và các Điều 17, 18, 20 Nghị định số 356/2025/NĐ-CP.

1.2. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 sử dụng thuật ngữ “chuyển dữ liệu cá nhân xuyên biên giới” thay cho thuật ngữ “chuyển dữ liệu cá nhân ra nước ngoài” trước đây.

Điều 2. Các trường hợp được coi là chuyển dữ liệu cá nhân xuyên biên giới

2.1. Theo khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và khoản 1 Điều 17 Nghị định số 356/2025/NĐ-CP, chuyển dữ liệu cá nhân xuyên biên giới bao gồm:

• chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ, máy chủ đặt ngoài lãnh thổ Việt Nam hoặc lên dịch vụ điện toán đám mây của nhà cung cấp nước ngoài;
• tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài;
• sử dụng nền tảng đặt ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam.

Điều 3. Phạm vi áp dụng

3.1. Quy định này áp dụng cho toàn bộ hoạt động xử lý dữ liệu của HiTechCloud và cho Khách hàng khi sử dụng Dịch vụ có yếu tố nước ngoài, như mạng phân phối nội dung toàn cầu, dịch vụ thư điện tử quốc tế hoặc kết nối tới nền tảng đám mây nước ngoài.

PHẦN II – NGUYÊN TẮC ƯU TIÊN LƯU TRỮ TRONG NƯỚC

Điều 4. Nguyên tắc chung

4.1. Dữ liệu cá nhân phát sinh từ Dịch vụ do HiTechCloud cung cấp được lưu trữ và xử lý tại các trung tâm dữ liệu trên lãnh thổ Việt Nam, đồng thời tuân thủ quy định của pháp luật về an ninh mạng đối với việc lưu trữ dữ liệu tại Việt Nam.

4.2. Việc chuyển dữ liệu cá nhân xuyên biên giới chỉ được thực hiện khi thực sự cần thiết cho mục đích đã công bố, có cơ sở pháp lý rõ ràng, đã hoàn thành hồ sơ đánh giá tác động và đã thực hiện nghĩa vụ nộp hồ sơ theo Phần IV và Phần V.

4.3. Trường hợp có thể đạt được mục đích bằng phương án không chuyển dữ liệu xuyên biên giới (sử dụng dịch vụ trong nước, khử nhận dạng, sử dụng dữ liệu tổng hợp), HiTechCloud ưu tiên áp dụng phương án đó.

PHẦN III – ĐIỀU KIỆN CHUYỂN DỮ LIỆU XUYÊN BIÊN GIỚI

Điều 5. Cơ sở pháp lý và minh bạch với chủ thể dữ liệu

5.1. Bên chuyển dữ liệu phải có cơ sở pháp lý hợp lệ cho việc xử lý và chuyển dữ liệu theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.

5.2. Chủ thể dữ liệu phải được thông báo rõ về: quốc gia hoặc vùng lãnh thổ tiếp nhận, danh tính bên tiếp nhận, loại dữ liệu được chuyển, mục đích chuyển, thời gian lưu trữ tại nước ngoài và các rủi ro có thể phát sinh.

Điều 6. Ràng buộc đối với bên tiếp nhận và dữ liệu bị cấm chuyển

6.1. Bên tiếp nhận ở nước ngoài phải cam kết bằng văn bản áp dụng biện pháp bảo vệ dữ liệu ở mức tương đương hoặc cao hơn so với yêu cầu của pháp luật Việt Nam, bao gồm mã hoá, kiểm soát truy cập, nghĩa vụ thông báo vi phạm và nghĩa vụ xoá dữ liệu khi kết thúc mục đích.

6.2. Không được chuyển xuyên biên giới dữ liệu thuộc danh mục bí mật nhà nước, dữ liệu bị pháp luật chuyên ngành cấm chuyển, hoặc dữ liệu mà cơ quan nhà nước có thẩm quyền đã yêu cầu ngừng chuyển.

Điều 7. Các trường hợp không phải lập hồ sơ đánh giá tác động

7.1. Theo khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, không phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong các trường hợp:

• cơ quan nhà nước có thẩm quyền chuyển dữ liệu cá nhân;
• cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động của chính mình trên dịch vụ điện toán đám mây;
• chủ thể dữ liệu tự chuyển dữ liệu cá nhân của mình;
• trường hợp khác do Chính phủ quy định.

7.2. Khoản 3 Điều 17 Nghị định số 356/2025/NĐ-CP bổ sung các trường hợp không phải lập hồ sơ đánh giá tác động, gồm:

• hoạt động báo chí, truyền thông;
• dữ liệu cá nhân đã được công khai theo quy định của pháp luật;
• tình huống khẩn cấp nhằm bảo vệ tính mạng, sức khoẻ, tài sản hoặc thực hiện nghĩa vụ theo quy định của pháp luật;
• quản lý nhân sự xuyên biên giới theo quy chế lao động hoặc thoả ước lao động tập thể;
• ký kết hợp đồng hoặc thực hiện thủ tục vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, khách sạn, xin thị thực, xin học bổng.

PHẦN IV – HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG CHUYỂN DỮ LIỆU XUYÊN BIÊN GIỚI

Điều 8. Nghĩa vụ lập hồ sơ

8.1. Trước khi chuyển dữ liệu cá nhân xuyên biên giới, bên chuyển dữ liệu phải lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Điều 18 Nghị định số 356/2025/NĐ-CP.

8.2. Hồ sơ gồm: báo cáo đánh giá tác động theo Mẫu số 09 tại Phụ lục Nghị định số 356/2025/NĐ-CP; bản sao hợp đồng hoặc văn bản chuyển giao thể hiện ràng buộc trách nhiệm giữa các Bên; và chính sách, quy trình, biểu mẫu bảo vệ dữ liệu cá nhân của bên chuyển dữ liệu.

8.3. Báo cáo đánh giá tác động phải mô tả đầy đủ các nội dung theo khoản 3 Điều 18 Nghị định số 356/2025/NĐ-CP, trong đó có sơ đồ luồng dữ liệu, phương án bảo đảm an toàn dữ liệu sau khi chuyển, quy trình bên nhận chuyển tiếp dữ liệu cho bên thứ ba và đánh giá mức độ bảo vệ dữ liệu của bên nhận.

Điều 9. Lưu giữ và cập nhật hồ sơ

9.1. Hồ sơ đánh giá tác động phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của Cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

9.2. Hồ sơ được lập 01 (một) lần cho suốt thời gian hoạt động và được cập nhật định kỳ 06 (sáu) tháng một lần theo Điều 22 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Điều 20 Nghị định số 356/2025/NĐ-CP.

9.3. Hồ sơ phải được cập nhật ngay khi có sự kiện tổ chức lại, giải thể, phá sản; thay đổi bên cung cấp dịch vụ bảo vệ dữ liệu cá nhân; hoặc phát sinh, thay đổi ngành nghề có liên quan đến hoạt động xử lý dữ liệu cá nhân.

PHẦN V – NGHĨA VỤ NỘP HỒ SƠ VÀ THẨM ĐỊNH

Điều 10. Thời hạn và phương thức nộp

10.1. Bên chuyển dữ liệu gửi 01 (một) bản chính Hồ sơ đánh giá tác động tới Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an trong thời hạn 60 (sáu mươi) ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân xuyên biên giới.

10.2. Hồ sơ được nộp trực tuyến, trực tiếp hoặc qua đường bưu chính, kèm Mẫu số 01a đối với tổ chức hoặc Mẫu số 01b đối với cá nhân tại Phụ lục Nghị định số 356/2025/NĐ-CP.

Điều 11. Kết quả thẩm định và kiểm tra

11.1. Cơ quan chuyên trách bảo vệ dữ liệu cá nhân trả kết quả đạt hoặc không đạt trong thời hạn 15 (mười lăm) ngày; trường hợp hồ sơ chưa đầy đủ, bên chuyển dữ liệu phải hoàn thiện trong thời hạn 30 (ba mươi) ngày theo các khoản 5 và 6 Điều 18 Nghị định số 356/2025/NĐ-CP.

11.2. Cơ quan chuyên trách bảo vệ dữ liệu cá nhân kiểm tra hoạt động chuyển dữ liệu cá nhân xuyên biên giới định kỳ không quá 01 (một) lần mỗi năm, hoặc kiểm tra đột xuất khi có vi phạm hoặc sự cố lộ, mất dữ liệu.

11.3. Bên chuyển dữ liệu chịu trách nhiệm trước pháp luật về tính chính xác và đầy đủ của thông tin trong hồ sơ và trong thông báo.

PHẦN VI – BIỆN PHÁP BẢO ĐẢM TƯƠNG ĐƯƠNG

Điều 12. Biện pháp kỹ thuật

12.1. Dữ liệu được mã hoá đầu cuối hoặc mã hoá ở mức tối thiểu AES-256 trước khi chuyển; kênh truyền sử dụng TLS phiên bản 1.2 trở lên; khoá mã hoá được quản lý tại Việt Nam trong phạm vi khả thi về kỹ thuật.

12.2. Áp dụng nguyên tắc tối thiểu hoá dữ liệu: chỉ chuyển đúng trường dữ liệu cần thiết, ưu tiên khử nhận dạng hoặc giả danh hoá trước khi chuyển, không chuyển dữ liệu cá nhân nhạy cảm nếu không bắt buộc.

Điều 13. Biện pháp hợp đồng và rà soát

13.1. Hợp đồng với bên tiếp nhận phải quy định rõ: phạm vi và mục đích xử lý; cấm chuyển tiếp cho bên thứ tư khi chưa được chấp thuận; nghĩa vụ thông báo vi phạm trong 24 (hai mươi bốn) giờ; quyền kiểm tra – đánh giá của bên chuyển; và nghĩa vụ trả lại hoặc tiêu huỷ dữ liệu khi kết thúc.

13.2. Bên chuyển dữ liệu thực hiện rà soát định kỳ tối thiểu 12 (mười hai) tháng một lần đối với mức độ tuân thủ của bên tiếp nhận và điều chỉnh biện pháp bảo vệ khi phát hiện rủi ro mới.

PHẦN VII – QUYỀN YÊU CẦU NGỪNG CHUYỂN DỮ LIỆU

Điều 14. Thẩm quyền của cơ quan nhà nước

14.1. Theo khoản 5 Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và khoản 2 Điều 17 Nghị định số 356/2025/NĐ-CP, Cơ quan chuyên trách bảo vệ dữ liệu cá nhân có quyền yêu cầu ngừng chuyển dữ liệu cá nhân xuyên biên giới khi dữ liệu được sử dụng vào hoạt động gây tổn hại đến quốc phòng, an ninh quốc gia, hoặc khi bên chuyển dữ liệu không chấp hành yêu cầu bổ sung, cập nhật hồ sơ, hoặc khi dữ liệu bị lộ, mất do bên tiếp nhận.

14.2. Khi nhận được yêu cầu ngừng chuyển của cơ quan nhà nước có thẩm quyền, HiTechCloud thực hiện ngừng chuyển ngay lập tức, thông báo cho Khách hàng bị ảnh hưởng và phối hợp thu hồi hoặc yêu cầu tiêu huỷ dữ liệu đã chuyển.

Điều 15. Quyền của chủ thể dữ liệu và hệ quả

15.1. Chủ thể dữ liệu có quyền phản đối việc chuyển dữ liệu cá nhân của mình xuyên biên giới và yêu cầu ngừng chuyển. HiTechCloud xử lý yêu cầu hợp lệ trong thời hạn theo quy định của pháp luật về bảo vệ dữ liệu cá nhân.

15.2. Việc ngừng chuyển dữ liệu theo yêu cầu của cơ quan nhà nước có thẩm quyền hoặc của chủ thể dữ liệu có thể dẫn tới việc một số tính năng Dịch vụ phụ thuộc nền tảng nước ngoài không còn khả dụng. HiTechCloud thông báo trước và không chịu trách nhiệm về hạn chế chức năng phát sinh từ nguyên nhân này.

PHẦN VIII – ÁP DỤNG RIÊNG ĐỐI VỚI DỊCH VỤ SOVEREIGN CLOUD

Điều 16. Cam kết lưu trữ trong nước

16.1. Đối với gói dịch vụ Sovereign Cloud (Đám mây Chủ quyền) do HiTechCloud cung cấp, dữ liệu của Khách hàng được lưu trữ, xử lý và sao lưu trong lãnh thổ Việt Nam. HiTechCloud không truyền, sao chép, sao lưu hoặc nhân bản dữ liệu đó ra ngoài lãnh thổ Việt Nam, trừ hai trường hợp: (a) Khách hàng yêu cầu bằng văn bản và đã tự thực hiện thủ tục pháp lý về chuyển dữ liệu xuyên biên giới; (b) theo yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền.

16.2. Bản sao lưu, nhật ký hệ thống, siêu dữ liệu và dữ liệu phục vụ khôi phục thảm hoạ của Sovereign Cloud đều được lưu tại các trung tâm dữ liệu trong nước; hạ tầng dự phòng cũng được đặt tại Việt Nam.

Điều 17. Nhân sự vận hành và xác nhận vị trí dữ liệu

17.1. Hoạt động vận hành, quản trị và hỗ trợ kỹ thuật đối với Sovereign Cloud được thực hiện bởi nhân sự tại Việt Nam. HiTechCloud không cấp quyền truy cập quản trị cho tổ chức, cá nhân ở nước ngoài, trừ trường hợp Khách hàng yêu cầu bằng văn bản hoặc theo yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền.

17.2. HiTechCloud cung cấp cho Khách hàng Sovereign Cloud văn bản xác nhận vị trí lưu trữ dữ liệu khi có yêu cầu, phục vụ mục đích tuân thủ và kiểm toán của Khách hàng.

PHẦN IX – TRÁCH NHIỆM CỦA KHÁCH HÀNG, GIỚI HẠN VÀ HIỆU LỰC

Điều 18. Trách nhiệm của Khách hàng

18.1. Khách hàng tự quyết định việc kết nối Dịch vụ của mình với nền tảng, dịch vụ hoặc đối tác ở nước ngoài phải tự lập hồ sơ đánh giá tác động, thực hiện nghĩa vụ nộp hồ sơ và chịu trách nhiệm trước pháp luật về hoạt động chuyển dữ liệu đó.

18.2. HiTechCloud không chịu trách nhiệm đối với hoạt động chuyển dữ liệu cá nhân xuyên biên giới do Khách hàng tự thực hiện thông qua ứng dụng, mã nguồn hoặc tích hợp nằm ngoài phạm vi quản trị của HiTechCloud.

18.3. Khách hàng lưu ý rằng theo khoản 4 Điều 8 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, mức phạt tiền tối đa đối với tổ chức vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới là 5% (năm phần trăm) doanh thu của năm trước liền kề; trường hợp không có doanh thu của năm trước liền kề hoặc mức tính theo doanh thu thấp hơn 03 (ba) tỷ đồng thì áp dụng mức 03 (ba) tỷ đồng.

Điều 19. Giới hạn trách nhiệm và giải quyết tranh chấp

19.1. Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến văn bản này trong mọi trường hợp không vượt quá tổng phí dịch vụ Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất. HiTechCloud không chịu trách nhiệm đối với thiệt hại gián tiếp, thiệt hại hệ quả, lợi nhuận hoặc cơ hội kinh doanh bị mất.

19.2. Mọi tranh chấp phát sinh trước hết được giải quyết bằng thương lượng, hoà giải trong 30 (ba mươi) ngày. Nếu không đạt kết quả, tranh chấp được đưa ra giải quyết tại Toà án nhân dân có thẩm quyền tại Thành phố Hồ Chí Minh theo pháp luật Việt Nam.

Điều 20. Hiệu lực, rà soát và sửa đổi

20.1. Văn bản này được rà soát định kỳ tối thiểu 01 (một) lần mỗi năm hoặc khi có thay đổi quan trọng về pháp luật, công nghệ, mô hình vận hành. Mọi sửa đổi được thông báo trước 30 (ba mươi) ngày trên https://hitechcloud.vn/tai-lieu-ho-tro/.

20.2. Văn bản này là bộ phận không tách rời của Thoả thuận Sử dụng Dịch vụ và được công bố tại https://hitechcloud.vn/tai-lieu-ho-tro/.

20.3. Đầu mối tiếp nhận: hotline 0865.920.041; thư điện tử cskh@photuesoftware.com đối với yêu cầu hỗ trợ và khiếu nại dịch vụ; thư điện tử hoadon@photuesoftware.com đối với yêu cầu liên quan đến hoá đơn, thanh toán và hoàn tiền.

PHẦN X – CĂN CỨ PHÁP LÝ

• Luật Bảo vệ dữ liệu cá nhân – số 91/2025/QH15, ngày ban hành 26/06/2025, có hiệu lực từ 01/01/2026 (Nghị định số 13/2023/NĐ-CP hết hiệu lực từ ngày 01/01/2026 theo khoản 2 Điều 42 Nghị định số 356/2025/NĐ-CP)
• Nghị định quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân – số 356/2025/NĐ-CP, ngày ban hành 31/12/2025, có hiệu lực từ 01/01/2026
• Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân – số 330/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026
• Luật An ninh mạng – số 116/2025/QH15, ngày ban hành 10/12/2025, có hiệu lực từ 01/07/2026 (Điều 44 khoản 2 bãi bỏ Luật An toàn thông tin mạng số 86/2015/QH13 và Luật An ninh mạng số 24/2018/QH14 kể từ ngày 01/07/2026)
• Nghị định quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng – số 333/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026 (Điều 9 quy định Mạng lưới ứng phó, khắc phục sự cố an ninh mạng quốc gia do Bộ Công an điều phối thống nhất; thay thế vai trò của Nghị định số 53/2022/NĐ-CP)
• Luật Giao dịch điện tử – số 20/2023/QH15, ngày ban hành 22/06/2023, có hiệu lực từ 01/07/2024
• Nghị định quy định về chữ ký điện tử và dịch vụ tin cậy – số 23/2025/NĐ-CP, ngày ban hành 21/02/2025, có hiệu lực từ 10/04/2025 (Bãi bỏ Nghị định số 130/2018/NĐ-CP)
• ISO/IEC 27017:2015 và ISO/IEC 27018:2019 – An toàn và bảo vệ dữ liệu cá nhân trên đám mây (Tiêu chuẩn tham chiếu, không phải văn bản quy phạm pháp luật)

---

Cập nhật theo khung pháp lý 2026-2027

Phần này bổ sung các nội dung bắt buộc theo pháp luật có hiệu lực trong năm 2026-2027 và là bộ phận không tách rời của văn bản. Trường hợp có mâu thuẫn với nội dung phía trên, phần này được ưu tiên áp dụng.

Thông báo sự cố an toàn thông tin và vi phạm dữ liệu cá nhân

Khi phát hiện sự cố an toàn thông tin hoặc sự cố lộ, mất, xâm phạm dữ liệu cá nhân có ảnh hưởng đến dữ liệu của Khách hàng, HiTechCloud thực hiện:

• Thông báo cho Khách hàng không chậm hơn 24 (hai mươi bốn) giờ kể từ thời điểm phát hiện, qua kênh liên hệ khẩn cấp đã đăng ký, kèm thông tin ban đầu về thời điểm, phạm vi, loại dữ liệu bị ảnh hưởng và biện pháp đã triển khai;
• Phối hợp với Khách hàng thực hiện nghĩa vụ thông báo cho cơ quan nhà nước có thẩm quyền trong thời hạn 72 (bảy mươi hai) giờ theo Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, và thông báo cho chủ thể dữ liệu khi pháp luật yêu cầu;
• Cung cấp báo cáo điều tra nguyên nhân gốc và kế hoạch khắc phục trong vòng 15 (mười lăm) ngày kể từ ngày thông báo ban đầu;
• Không đưa ra công bố công khai gắn tên Khách hàng về sự cố nếu chưa có sự thống nhất bằng văn bản, trừ trường hợp pháp luật bắt buộc.

Khách hàng có nghĩa vụ đối ứng tương tự trong vòng 24 giờ đối với sự cố phát sinh từ phía Khách hàng có ảnh hưởng đến hệ thống của HiTechCloud.

Tuân thủ pháp luật thương mại điện tử

Hoạt động cung cấp dịch vụ qua website, ứng dụng di động và nền tảng số của HiTechCloud tuân thủ Luật Thương mại điện tử số 122/2025/QH15 và Nghị định số 248/2026/NĐ-CP quy định chi tiết một số điều của Luật Thương mại điện tử, bao gồm nghĩa vụ công bố thông tin về chủ thể cung cấp dịch vụ, giá và điều kiện giao dịch chung, quy trình giao kết hợp đồng điện tử cho phép Khách hàng rà soát và xác nhận nội dung trước khi giao kết, lưu trữ chứng từ giao dịch, và cơ chế tiếp nhận, giải quyết khiếu nại.

Hóa đơn điện tử, chứng từ điện tử và nghĩa vụ thuế

HiTechCloud lập và gửi hóa đơn điện tử theo Luật Quản lý thuế số 108/2025/QH15, Nghị định số 254/2026/NĐ-CP quy định chi tiết một số điều và biện pháp để tổ chức, hướng dẫn thi hành Luật Quản lý thuế số 108/2025/QH15 về hóa đơn điện tử, chứng từ điện tử và Thông tư số 91/2026/TT-BTC. Các nội dung về quản lý thuế thực hiện theo Nghị định số 252/2026/NĐ-CP và Thông tư số 89/2026/TT-BTC.

• Hóa đơn được lập tại thời điểm hoàn thành việc cung cấp dịch vụ hoặc tại thời điểm thu tiền, tùy thời điểm nào đến trước; dịch vụ theo chu kỳ thì lập theo từng chu kỳ đã thỏa thuận.
• Khách hàng cung cấp chính xác thông tin định danh phục vụ lập hóa đơn và thông báo thay đổi trong 05 (năm) ngày làm việc.
• Hóa đơn có sai sót được thông báo trong 03 (ba) ngày làm việc và xử lý theo trình tự tại Nghị định số 254/2026/NĐ-CP và Thông tư số 91/2026/TT-BTC.
• Báo giá, đề nghị thanh toán, biên bản bàn giao, nghiệm thu, đối soát công nợ được lập dưới dạng chứng từ điện tử ký số, có giá trị pháp lý tương đương chứng từ giấy theo Luật Giao dịch điện tử số 20/2023/QH15 và Nghị định số 23/2025/NĐ-CP.

Ngoại lệ của giới hạn trách nhiệm

Giới hạn trách nhiệm quy định tại văn bản này không áp dụng đối với: (i) thiệt hại phát sinh từ hành vi cố ý hoặc gian lận của một Bên hoặc của người do Bên đó sử dụng; (ii) vi phạm nghĩa vụ bảo mật thông tin và nghĩa vụ bảo vệ dữ liệu cá nhân; (iii) hành vi xâm phạm quyền sở hữu trí tuệ của Bên kia hoặc của bên thứ ba; (iv) thiệt hại về tính mạng, sức khỏe của con người; (v) nghĩa vụ hoàn trả các khoản tiền mà một Bên đang giữ hộ hoặc đã thu nhưng không có căn cứ; (vi) các trách nhiệm mà pháp luật không cho phép loại trừ hoặc giới hạn.

Việc giới hạn trách nhiệm không làm mất quyền của Bên bị vi phạm được áp dụng các chế tài khác theo Điều 292 Luật Thương mại số 36/2005/QH11.

Mức trần trách nhiệm, các ngoại lệ và biện pháp bồi thường

Các quy định dưới đây được áp dụng theo Phụ lục cập nhật Tiêu chuẩn pháp lý năm 2026 và Phụ lục cập nhật Điều khoản dịch vụ năm 2026 do HiTechCloud ban hành, áp dụng thống nhất cho toàn bộ hệ thống điều khoản, tiêu chuẩn pháp lý dịch vụ và chính sách của HiTechCloud. Trường hợp có mâu thuẫn với nội dung phía trên, quy định tại phần này được áp dụng.

Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến Dịch vụ, với mọi căn cứ pháp lý cộng gộp, không vượt quá tổng phí dịch vụ mà Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất trước thời điểm phát sinh sự kiện gây thiệt hại. Đây là công thức thống nhất cho toàn bộ hệ thống văn bản của HiTechCloud; mọi công thức khác quy định tại văn bản này được hiểu theo công thức này.

Giới hạn trách nhiệm nêu trên KHÔNG áp dụng đối với: (i) lỗi cố ý hoặc gian lận; (ii) vi phạm nghĩa vụ bảo mật và bảo vệ dữ liệu cá nhân; (iii) xâm phạm quyền sở hữu trí tuệ; (iv) thiệt hại về tính mạng, sức khỏe; (v) hoàn trả tiền giữ hộ hoặc thu không có căn cứ; (vi) trách nhiệm mà pháp luật không cho phép loại trừ.

Biện pháp giảm trừ phí khi vi phạm cam kết mức độ dịch vụ là biện pháp bồi thường chính, không phải biện pháp duy nhất; Khách hàng bảo lưu quyền yêu cầu bồi thường thiệt hại thực tế theo Bộ luật Dân sự số 91/2015/QH13 và Luật Thương mại số 36/2005/QH11 trong các trường hợp nêu tại đoạn trên.

Yêu cầu bồi hoàn, giảm trừ phí theo cam kết mức độ dịch vụ được Khách hàng gửi bằng văn bản hoặc qua hệ thống phiếu yêu cầu (ticket) trong thời hạn 30 (ba mươi) ngày kể từ ngày kết thúc chu kỳ thanh toán có sự cố. Trường hợp sự cố kéo dài qua nhiều chu kỳ, thời hạn được tính từ ngày HiTechCloud xác nhận đã khắc phục xong sự cố. Quá thời hạn này, quyền yêu cầu bồi hoàn chấm dứt; quy định này không làm thay đổi thời hiệu khởi kiện mà pháp luật quy định là bắt buộc.

Các quy định về mức trần bồi hoàn và các trường hợp loại trừ không được áp dụng để hạn chế, loại trừ hoặc gây cản trở các quyền mà pháp luật về bảo vệ quyền lợi người tiêu dùng và pháp luật về bảo vệ dữ liệu cá nhân dành cho Khách hàng. Trường hợp bất kỳ nội dung nào của văn bản này hạn chế quyền của Khách hàng là người tiêu dùng ở mức thấp hơn quy định của pháp luật, quy định của pháp luật được áp dụng theo khoản 1 Điều 25 Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15.

---

Chuẩn hóa theo quy định pháp luật

Phân vai xử lý dữ liệu cá nhân

Trong quan hệ cung cấp dịch vụ theo văn bản này: Khách hàng là Bên Kiểm soát dữ liệu cá nhân đối với dữ liệu cá nhân của khách hàng, người dùng cuối, nhân sự và đối tác của Khách hàng được đưa vào, lưu trữ hoặc xử lý trên dịch vụ, và chịu trách nhiệm về căn cứ pháp lý của việc xử lý. HiTechCloud là Bên Xử lý dữ liệu cá nhân, chỉ xử lý theo phạm vi, mục đích và chỉ dẫn hợp pháp bằng văn bản của Khách hàng nhằm cung cấp dịch vụ, không sử dụng cho mục đích khác, không bán và không chuyển giao trái phép. Đối với phần dữ liệu HiTechCloud buộc phải xử lý để thực hiện nghĩa vụ luật định của chính mình (kê khai thuế, lưu nhật ký hệ thống, phòng chống gian lận, đáp ứng yêu cầu của cơ quan nhà nước có thẩm quyền), HiTechCloud là Bên Kiểm soát dữ liệu độc lập đối với phần dữ liệu đó.