Quy trình ứng phó sự cố an toàn thông tin

PHẦN I – MỤC ĐÍCH VÀ PHẠM VI

Điều 1. Mục đích

1.1. Quy trình này quy định cách thức Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (thương hiệu HiTechCloud, sau đây gọi là “HiTechCloud”) tổ chức phát hiện, xử lý, khắc phục và rút kinh nghiệm đối với sự cố an ninh mạng và sự cố an toàn thông tin.

1.2. Quy trình được tổ chức theo 06 (sáu) bước: Chuẩn bị – Phát hiện và Phân tích – Ngăn chặn – Loại bỏ – Khôi phục – Rút kinh nghiệm; được xây dựng tham chiếu hướng dẫn NIST SP 800-61 Rev.3 (tháng 4/2025) và Khung an ninh mạng NIST Cybersecurity Framework 2.0.

1.3. Mục tiêu của Quy trình là giảm thiểu thiệt hại, khôi phục dịch vụ trong thời gian ngắn nhất, bảo toàn chứng cứ số và ngăn ngừa sự cố tương tự tái diễn.

Điều 2. Phạm vi áp dụng

2.1. Quy trình áp dụng đối với mọi sự cố ảnh hưởng hoặc có nguy cơ ảnh hưởng tới tính bí mật, tính toàn vẹn, tính sẵn sàng của hệ thống, dịch vụ và dữ liệu do HiTechCloud quản lý, bao gồm cả sự cố phát sinh tại nhà cung cấp hạ tầng hoặc bên thứ ba có kết nối tới hệ thống của HiTechCloud.

2.2. Trường hợp sự cố liên quan đến dữ liệu cá nhân, ngoài Quy trình này còn áp dụng đồng thời Quy trình Thông báo Vi phạm Dữ liệu Cá nhân của HiTechCloud, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP.

PHẦN II – PHÂN LOẠI VÀ MỨC ĐỘ NGHIÊM TRỌNG CỦA SỰ CỐ

Điều 3. Các mức độ sự cố

Thang phân loại mức độ nghiêm trọng tại Quy trình này áp dụng riêng cho sự cố an toàn thông tin và độc lập với thang ưu tiên P1 đến P4 dùng cho yêu cầu hỗ trợ kỹ thuật vận hành tại Điều khoản Hỗ trợ Kỹ thuật.

3.1. Sự cố mức P1 – Nghiêm trọng: gián đoạn toàn bộ dịch vụ hoặc dịch vụ cốt lõi trên diện rộng; xâm nhập trái phép có bằng chứng vào hệ thống chứa dữ liệu Khách hàng; lộ lọt hoặc mất mát dữ liệu cá nhân; mã hoá tống tiền lan rộng. Thời gian phản hồi tối đa 15 (mười lăm) phút kể từ khi ghi nhận cảnh báo, xử lý liên tục 24/7 đến khi khắc phục.

3.2. Sự cố mức P2 – Cao: suy giảm nghiêm trọng hiệu năng hoặc gián đoạn một phần dịch vụ ảnh hưởng nhiều Khách hàng; phát hiện lỗ hổng đang bị khai thác; tấn công từ chối dịch vụ có tác động. Thời gian phản hồi tối đa 30 (ba mươi) phút.

3.3. Sự cố mức P3 – Trung bình: ảnh hưởng cục bộ tới một Khách hàng hoặc một thành phần không cốt lõi, có phương án thay thế tạm thời. Thời gian phản hồi tối đa 02 (hai) giờ trong giờ làm việc.

3.4. Sự cố mức P4 – Thấp: sự kiện an ninh cần theo dõi, cảnh báo đơn lẻ, vi phạm chính sách không gây gián đoạn dịch vụ. Thời gian phản hồi tối đa 08 (tám) giờ làm việc.

Điều 4. Đánh giá lại mức độ

4.1. Mức độ sự cố được đánh giá lại liên tục trong quá trình xử lý và có thể được nâng cấp hoặc hạ cấp. Mọi thay đổi mức độ phải được ghi nhận trong hồ sơ sự cố kèm lý do.

PHẦN III – TỔ CHỨC ĐỘI ỨNG PHÓ SỰ CỐ

Điều 5. Thành phần và thẩm quyền

5.1. HiTechCloud thành lập Đội Ứng phó Sự cố (Incident Response Team – IRT) gồm: Chỉ huy sự cố (Incident Commander), chuyên gia phân tích an ninh, kỹ sư hạ tầng và hệ thống, đầu mối pháp chế – tuân thủ và đầu mối truyền thông – chăm sóc khách hàng.

5.2. Chỉ huy sự cố là người duy nhất có thẩm quyền quyết định phân loại mức độ, phê duyệt biện pháp ngăn chặn có ảnh hưởng tới dịch vụ, quyết định thời điểm công bố thông tin và tuyên bố kết thúc sự cố.

Điều 6. Trực vận hành và huy động nguồn lực bên ngoài

6.1. HiTechCloud duy trì chế độ trực vận hành 24/7 với danh sách liên lạc khẩn cấp được cập nhật tối thiểu 03 (ba) tháng một lần và kênh liên lạc dự phòng độc lập với hệ thống chính.

6.2. Trong trường hợp vượt quá năng lực nội bộ, Chỉ huy sự cố được quyền huy động chuyên gia bên ngoài, nhà cung cấp giải pháp an ninh mạng, hoặc phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an thông qua Mạng lưới ứng phó, khắc phục sự cố an ninh mạng quốc gia theo Điều 9 Nghị định số 333/2026/NĐ-CP ngày 19/8/2026.

PHẦN IV – BƯỚC 1 – CHUẨN BỊ

Điều 7. Kịch bản và công cụ ứng phó

7.1. HiTechCloud xây dựng và duy trì kịch bản ứng phó (playbook) cho các nhóm sự cố điển hình: xâm nhập máy chủ, mã độc tống tiền, rò rỉ dữ liệu, tấn công từ chối dịch vụ, lạm dụng tài khoản đặc quyền và sự cố nhà cung cấp bên thứ ba.

7.2. Công cụ phục vụ ứng phó được chuẩn bị sẵn sàng, bao gồm hệ thống giám sát và quản lý sự kiện an ninh (SIEM), công cụ phát hiện và phản ứng điểm cuối (EDR), công cụ thu thập chứng cứ số, kho lưu trữ bản sao lưu bất biến và môi trường cách ly phục vụ phân tích.

Điều 8. Diễn tập và nghĩa vụ báo cáo nội bộ

8.1. Diễn tập ứng phó sự cố trên bàn (table-top exercise) được tổ chức tối thiểu 02 (hai) lần mỗi năm. Diễn tập kỹ thuật mô phỏng tấn công thực tế được tổ chức tối thiểu 01 (một) lần mỗi năm, có báo cáo đánh giá và kế hoạch cải tiến.

8.2. Toàn bộ nhân sự vận hành được đào tạo về nghĩa vụ báo cáo ngay lập tức mọi dấu hiệu bất thường tới Bộ phận An toàn Thông tin, không được tự ý xử lý làm mất dấu vết chứng cứ.

PHẦN V – BƯỚC 2 – PHÁT HIỆN VÀ PHÂN TÍCH

Điều 9. Nguồn phát hiện và mở hồ sơ sự cố

9.1. Nguồn phát hiện sự cố bao gồm: cảnh báo tự động từ SIEM, EDR, IDS/IPS, WAF và hệ thống giám sát hạ tầng; báo cáo của nhân sự nội bộ; thông báo của Khách hàng qua hotline 0865.920.041 hoặc thư điện tử cskh@photuesoftware.com; cảnh báo từ cơ quan nhà nước có thẩm quyền, đối tác hoặc nhà nghiên cứu bảo mật độc lập.

9.2. Mọi cảnh báo được tiếp nhận, phân loại sơ bộ và mở hồ sơ sự cố với mã định danh duy nhất trong hệ thống quản lý sự cố, ghi nhận thời điểm phát hiện, nguồn phát hiện, phạm vi ảnh hưởng dự kiến và người tiếp nhận.

Điều 10. Phân tích và bảo toàn chứng cứ

10.1. Bộ phận An toàn Thông tin tiến hành phân tích để xác định: sự cố thật hay cảnh báo giả, véc-tơ tấn công, phạm vi hệ thống và dữ liệu bị ảnh hưởng, mức độ nghiêm trọng, khả năng lan rộng và chỉ dấu xâm hại (Indicators of Compromise).

10.2. Chứng cứ số được thu thập và bảo toàn theo nguyên tắc chuỗi hành trình chứng cứ (chain of custody): tạo bản sao ảnh đĩa và bộ nhớ trước khi can thiệp, tính giá trị băm để bảo đảm toàn vẹn, lưu trữ có kiểm soát truy cập và ghi nhật ký mọi thao tác.

PHẦN VI – BƯỚC 3 VÀ BƯỚC 4 – NGĂN CHẶN VÀ LOẠI BỎ

Điều 11. Ngăn chặn

11.1. Ngăn chặn ngắn hạn được thực hiện ngay khi xác nhận sự cố, bao gồm: cách ly hệ thống bị ảnh hưởng khỏi mạng, chặn địa chỉ IP hoặc tên miền độc hại, vô hiệu hoá tài khoản bị chiếm đoạt, thu hồi phiên đăng nhập và khoá truy cập đang hoạt động.

11.2. Ngăn chặn dài hạn bao gồm áp dụng bản vá tạm thời, siết chặt luật tường lửa, tăng cường quy tắc giám sát và triển khai biện pháp bù đắp cho tới khi nguyên nhân gốc được xử lý triệt để.

Điều 12. Loại bỏ và phê duyệt biện pháp gây gián đoạn

12.1. Loại bỏ là việc xoá bỏ hoàn toàn nguyên nhân gây sự cố: gỡ bỏ mã độc và cửa hậu, đóng lỗ hổng bị khai thác, đặt lại toàn bộ thông tin xác thực và khoá mã hoá có khả năng đã bị lộ, xây dựng lại hệ thống từ ảnh gốc sạch khi cần thiết.

12.2. Mọi biện pháp ngăn chặn hoặc loại bỏ có khả năng gây gián đoạn dịch vụ Khách hàng phải được Chỉ huy sự cố phê duyệt và ghi nhận đầy đủ lý do, thời điểm thực hiện, người thực hiện trong hồ sơ sự cố.

PHẦN VII – BƯỚC 5 VÀ BƯỚC 6 – KHÔI PHỤC VÀ RÚT KINH NGHIỆM

Điều 13. Khôi phục và giám sát tăng cường

13.1. Khôi phục được thực hiện theo Chính sách Sao lưu và Khôi phục Thảm hoạ, ưu tiên khôi phục từ bản sao lưu bất biến đã được xác minh sạch. Hệ thống chỉ được đưa trở lại vận hành sau khi vượt qua kiểm tra an toàn và được Chỉ huy sự cố chấp thuận.

13.2. Sau khi khôi phục, hệ thống bị ảnh hưởng được đặt dưới chế độ giám sát tăng cường tối thiểu 14 (mười bốn) ngày nhằm phát hiện sớm dấu hiệu tái nhiễm hoặc hoạt động bất thường còn sót lại.

Điều 14. Báo cáo sau sự cố và cải tiến

14.1. Trong vòng 05 (năm) ngày làm việc kể từ khi tuyên bố kết thúc sự cố mức P1 hoặc P2, HiTechCloud lập Báo cáo sau sự cố (Post-Incident Report) gồm: diễn biến theo dòng thời gian, nguyên nhân gốc, phạm vi ảnh hưởng, biện pháp đã áp dụng, bài học kinh nghiệm và kế hoạch phòng ngừa có thời hạn.

14.2. Kết luận và khuyến nghị từ Báo cáo sau sự cố được đưa vào đăng ký rủi ro, cập nhật kịch bản ứng phó, điều chỉnh quy tắc giám sát và chương trình đào tạo nhận thức. Việc thực hiện được theo dõi đến khi hoàn tất.

14.3. Hồ sơ sự cố được lưu trữ tối thiểu 03 (ba) năm kể từ ngày kết thúc sự cố, bảo đảm phục vụ công tác thanh tra, kiểm tra và giải quyết tranh chấp. Đối với sự cố liên quan đến dữ liệu cá nhân, thời hạn lưu trữ hồ sơ thực hiện theo Quy trình Thông báo Vi phạm Dữ liệu Cá nhân.

PHẦN VIII – TRUYỀN THÔNG SỰ CỐ VÀ BÁO CÁO CƠ QUAN CHỨC NĂNG

Điều 15. Truyền thông tới Khách hàng

15.1. Đối với sự cố mức P1 gây gián đoạn dịch vụ, HiTechCloud đăng thông báo trên trang tình trạng dịch vụ và gửi thư điện tử tới Khách hàng bị ảnh hưởng trong vòng 60 (sáu mươi) phút kể từ khi xác nhận sự cố, sau đó cập nhật tiến độ tối thiểu 02 (hai) giờ một lần cho đến khi khắc phục xong.

15.2. Nội dung truyền thông sự cố phải trung thực, không suy đoán, gồm: phạm vi ảnh hưởng đã xác định, thời điểm bắt đầu, biện pháp đang thực hiện, thời gian khắc phục dự kiến và khuyến nghị hành động cho Khách hàng. Chỉ Chỉ huy sự cố hoặc người được uỷ quyền bằng văn bản mới có thẩm quyền phát ngôn.

Điều 16. Báo cáo cơ quan nhà nước có thẩm quyền

16.1. Trường hợp sự cố liên quan đến dữ liệu cá nhân, HiTechCloud thông báo cho Khách hàng với tư cách Bên Kiểm soát dữ liệu cá nhân và thực hiện nghĩa vụ thông báo theo Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Quy trình Thông báo Vi phạm Dữ liệu Cá nhân của HiTechCloud.

16.2. HiTechCloud thực hiện ứng phó, khắc phục sự cố an ninh mạng và phối hợp báo cáo với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an theo Luật An ninh mạng số 116/2025/QH15 và Nghị định số 333/2026/NĐ-CP ngày 19/8/2026.

16.3. HiTechCloud phối hợp cung cấp nhật ký, chứng cứ và thông tin kỹ thuật theo yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền, trong đó thực hiện yêu cầu cung cấp thông tin theo thời hạn quy định tại Điều 25 Luật An ninh mạng số 116/2025/QH15.

PHẦN IX – TRÁCH NHIỆM CÁC BÊN, GIỚI HẠN VÀ HIỆU LỰC

Điều 17. Nghĩa vụ của Khách hàng

17.1. Khách hàng có nghĩa vụ: chỉ định đầu mối liên hệ sự cố và cập nhật khi thay đổi; thông báo kịp thời cho HiTechCloud khi phát hiện dấu hiệu bất thường; phối hợp cung cấp thông tin phục vụ điều tra; thực hiện các khuyến nghị khắc phục thuộc phạm vi hệ thống, mã nguồn và tài khoản do Khách hàng quản lý.

17.2. HiTechCloud không chịu trách nhiệm đối với sự cố phát sinh từ mã nguồn, ứng dụng, cấu hình, thông tin xác thực hoặc hành vi của Khách hàng và người dùng cuối thuộc quyền quản lý của Khách hàng, cũng như sự cố do sự kiện bất khả kháng.

Điều 18. Cơ chế bồi thường và giới hạn trách nhiệm

18.1. Hình thức bồi thường chính khi HiTechCloud vi phạm cam kết chất lượng dịch vụ (SLA) là giảm trừ phí vào chu kỳ thanh toán tiếp theo, với mức giảm trừ tối đa không vượt quá 30% (ba mươi phần trăm) phí dịch vụ của tháng xảy ra sự cố. Thời gian gián đoạn do sự cố xuất phát từ lỗi của Khách hàng không được tính vào chỉ tiêu SLA.

18.2. Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến văn bản này trong mọi trường hợp không vượt quá tổng phí dịch vụ Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất. HiTechCloud không chịu trách nhiệm đối với thiệt hại gián tiếp, thiệt hại hệ quả, lợi nhuận hoặc cơ hội kinh doanh bị mất.

Điều 19. Hiệu lực, rà soát và sửa đổi

19.1. Văn bản này được rà soát định kỳ tối thiểu 01 (một) lần mỗi năm hoặc khi có thay đổi quan trọng về pháp luật, công nghệ, mô hình vận hành. Mọi sửa đổi được thông báo trước 30 (ba mươi) ngày trên https://hitechcloud.vn/tai-lieu-ho-tro/.

19.2. Văn bản này là bộ phận không tách rời của Thoả thuận Sử dụng Dịch vụ và được công bố tại https://hitechcloud.vn/tai-lieu-ho-tro/.

19.3. Đầu mối tiếp nhận: hotline 0865.920.041; thư điện tử cskh@photuesoftware.com đối với yêu cầu hỗ trợ và khiếu nại dịch vụ; thư điện tử hoadon@photuesoftware.com đối với yêu cầu liên quan đến hoá đơn, thanh toán và hoàn tiền.

PHẦN X – LUẬT ÁP DỤNG

Điều 20. Luật áp dụng

20.1. Văn bản này được điều chỉnh và giải thích theo pháp luật Việt Nam. Trường hợp bất kỳ điều khoản nào bị cơ quan nhà nước có thẩm quyền tuyên là vô hiệu hoặc không thể thi hành, các điều khoản còn lại vẫn giữ nguyên hiệu lực.

PHẦN XI – CĂN CỨ PHÁP LÝ

• Luật An ninh mạng – số 116/2025/QH15, ngày ban hành 10/12/2025, có hiệu lực từ 01/07/2026 (Điều 44 khoản 2 bãi bỏ Luật An toàn thông tin mạng số 86/2015/QH13 và Luật An ninh mạng số 24/2018/QH14 kể từ ngày 01/07/2026)
• Nghị định quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng – số 333/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026 (Điều 9 quy định Mạng lưới ứng phó, khắc phục sự cố an ninh mạng quốc gia do Bộ Công an điều phối thống nhất; thay thế vai trò của Nghị định số 53/2022/NĐ-CP)
• Nghị định về bảo vệ an ninh mạng đối với hệ thống thông tin – số 331/2026/NĐ-CP, ngày ban hành 19/08/2026, có hiệu lực từ 19/08/2026 (Quy định cấp độ hệ thống thông tin; thay thế vai trò của Nghị định số 85/2016/NĐ-CP và Thông tư số 12/2022/TT-BTTTT)
• Luật Bảo vệ dữ liệu cá nhân – số 91/2025/QH15, ngày ban hành 26/06/2025, có hiệu lực từ 01/01/2026 (Nghị định số 13/2023/NĐ-CP hết hiệu lực từ ngày 01/01/2026 theo khoản 2 Điều 42 Nghị định số 356/2025/NĐ-CP)
• Nghị định quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân – số 356/2025/NĐ-CP, ngày ban hành 31/12/2025, có hiệu lực từ 01/01/2026
• ISO/IEC 27001:2022 và TCVN ISO/IEC 27001:2019 – Hệ thống quản lý an toàn thông tin (Tiêu chuẩn tham chiếu, không phải văn bản quy phạm pháp luật)
• NIST SP 800-61 Rev.3 (tháng 4/2025) – Incident Response Recommendations and Considerations for Cybersecurity Risk Management (Thay thế NIST SP 800-61 Rev.2; thông lệ tốt tham chiếu)
• NIST Cybersecurity Framework 2.0 – Khung an ninh mạng (Thông lệ tốt tham chiếu)

---

Cập nhật theo khung pháp lý 2026-2027

Phần này bổ sung các nội dung bắt buộc theo pháp luật có hiệu lực trong năm 2026-2027 và là bộ phận không tách rời của văn bản. Trường hợp có mâu thuẫn với nội dung phía trên, phần này được ưu tiên áp dụng.

Thông báo sự cố an toàn thông tin và vi phạm dữ liệu cá nhân

Khi phát hiện sự cố an toàn thông tin hoặc sự cố lộ, mất, xâm phạm dữ liệu cá nhân có ảnh hưởng đến dữ liệu của Khách hàng, HiTechCloud thực hiện:

• Thông báo cho Khách hàng không chậm hơn 24 (hai mươi bốn) giờ kể từ thời điểm phát hiện, qua kênh liên hệ khẩn cấp đã đăng ký, kèm thông tin ban đầu về thời điểm, phạm vi, loại dữ liệu bị ảnh hưởng và biện pháp đã triển khai;
• Phối hợp với Khách hàng thực hiện nghĩa vụ thông báo cho cơ quan nhà nước có thẩm quyền trong thời hạn 72 (bảy mươi hai) giờ theo Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, và thông báo cho chủ thể dữ liệu khi pháp luật yêu cầu;
• Cung cấp báo cáo điều tra nguyên nhân gốc và kế hoạch khắc phục trong vòng 15 (mười lăm) ngày kể từ ngày thông báo ban đầu;
• Không đưa ra công bố công khai gắn tên Khách hàng về sự cố nếu chưa có sự thống nhất bằng văn bản, trừ trường hợp pháp luật bắt buộc.

Khách hàng có nghĩa vụ đối ứng tương tự trong vòng 24 giờ đối với sự cố phát sinh từ phía Khách hàng có ảnh hưởng đến hệ thống của HiTechCloud.

Tuân thủ pháp luật thương mại điện tử

Hoạt động cung cấp dịch vụ qua website, ứng dụng di động và nền tảng số của HiTechCloud tuân thủ Luật Thương mại điện tử số 122/2025/QH15 và Nghị định số 248/2026/NĐ-CP quy định chi tiết một số điều của Luật Thương mại điện tử, bao gồm nghĩa vụ công bố thông tin về chủ thể cung cấp dịch vụ, giá và điều kiện giao dịch chung, quy trình giao kết hợp đồng điện tử cho phép Khách hàng rà soát và xác nhận nội dung trước khi giao kết, lưu trữ chứng từ giao dịch, và cơ chế tiếp nhận, giải quyết khiếu nại.

Hóa đơn điện tử, chứng từ điện tử và nghĩa vụ thuế

HiTechCloud lập và gửi hóa đơn điện tử theo Luật Quản lý thuế số 108/2025/QH15, Nghị định số 254/2026/NĐ-CP quy định chi tiết một số điều và biện pháp để tổ chức, hướng dẫn thi hành Luật Quản lý thuế số 108/2025/QH15 về hóa đơn điện tử, chứng từ điện tử và Thông tư số 91/2026/TT-BTC. Các nội dung về quản lý thuế thực hiện theo Nghị định số 252/2026/NĐ-CP và Thông tư số 89/2026/TT-BTC.

• Hóa đơn được lập tại thời điểm hoàn thành việc cung cấp dịch vụ hoặc tại thời điểm thu tiền, tùy thời điểm nào đến trước; dịch vụ theo chu kỳ thì lập theo từng chu kỳ đã thỏa thuận.
• Khách hàng cung cấp chính xác thông tin định danh phục vụ lập hóa đơn và thông báo thay đổi trong 05 (năm) ngày làm việc.
• Hóa đơn có sai sót được thông báo trong 03 (ba) ngày làm việc và xử lý theo trình tự tại Nghị định số 254/2026/NĐ-CP và Thông tư số 91/2026/TT-BTC.
• Báo giá, đề nghị thanh toán, biên bản bàn giao, nghiệm thu, đối soát công nợ được lập dưới dạng chứng từ điện tử ký số, có giá trị pháp lý tương đương chứng từ giấy theo Luật Giao dịch điện tử số 20/2023/QH15 và Nghị định số 23/2025/NĐ-CP.

Ngoại lệ của giới hạn trách nhiệm

Giới hạn trách nhiệm quy định tại văn bản này không áp dụng đối với: (i) thiệt hại phát sinh từ hành vi cố ý hoặc gian lận của một Bên hoặc của người do Bên đó sử dụng; (ii) vi phạm nghĩa vụ bảo mật thông tin và nghĩa vụ bảo vệ dữ liệu cá nhân; (iii) hành vi xâm phạm quyền sở hữu trí tuệ của Bên kia hoặc của bên thứ ba; (iv) thiệt hại về tính mạng, sức khỏe của con người; (v) nghĩa vụ hoàn trả các khoản tiền mà một Bên đang giữ hộ hoặc đã thu nhưng không có căn cứ; (vi) các trách nhiệm mà pháp luật không cho phép loại trừ hoặc giới hạn.

Việc giới hạn trách nhiệm không làm mất quyền của Bên bị vi phạm được áp dụng các chế tài khác theo Điều 292 Luật Thương mại số 36/2005/QH11.

Mức trần trách nhiệm, các ngoại lệ và biện pháp bồi thường

Các quy định dưới đây được áp dụng theo Phụ lục cập nhật Tiêu chuẩn pháp lý năm 2026 và Phụ lục cập nhật Điều khoản dịch vụ năm 2026 do HiTechCloud ban hành, áp dụng thống nhất cho toàn bộ hệ thống điều khoản, tiêu chuẩn pháp lý dịch vụ và chính sách của HiTechCloud. Trường hợp có mâu thuẫn với nội dung phía trên, quy định tại phần này được áp dụng.

Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến Dịch vụ, với mọi căn cứ pháp lý cộng gộp, không vượt quá tổng phí dịch vụ mà Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất trước thời điểm phát sinh sự kiện gây thiệt hại. Đây là công thức thống nhất cho toàn bộ hệ thống văn bản của HiTechCloud; mọi công thức khác quy định tại văn bản này được hiểu theo công thức này.

Giới hạn trách nhiệm nêu trên KHÔNG áp dụng đối với: (i) lỗi cố ý hoặc gian lận; (ii) vi phạm nghĩa vụ bảo mật và bảo vệ dữ liệu cá nhân; (iii) xâm phạm quyền sở hữu trí tuệ; (iv) thiệt hại về tính mạng, sức khỏe; (v) hoàn trả tiền giữ hộ hoặc thu không có căn cứ; (vi) trách nhiệm mà pháp luật không cho phép loại trừ.

Biện pháp giảm trừ phí khi vi phạm cam kết mức độ dịch vụ là biện pháp bồi thường chính, không phải biện pháp duy nhất; Khách hàng bảo lưu quyền yêu cầu bồi thường thiệt hại thực tế theo Bộ luật Dân sự số 91/2015/QH13 và Luật Thương mại số 36/2005/QH11 trong các trường hợp nêu tại đoạn trên.

Yêu cầu bồi hoàn, giảm trừ phí theo cam kết mức độ dịch vụ được Khách hàng gửi bằng văn bản hoặc qua hệ thống phiếu yêu cầu (ticket) trong thời hạn 30 (ba mươi) ngày kể từ ngày kết thúc chu kỳ thanh toán có sự cố. Trường hợp sự cố kéo dài qua nhiều chu kỳ, thời hạn được tính từ ngày HiTechCloud xác nhận đã khắc phục xong sự cố. Quá thời hạn này, quyền yêu cầu bồi hoàn chấm dứt; quy định này không làm thay đổi thời hiệu khởi kiện mà pháp luật quy định là bắt buộc.

Các quy định về mức trần bồi hoàn và các trường hợp loại trừ không được áp dụng để hạn chế, loại trừ hoặc gây cản trở các quyền mà pháp luật về bảo vệ quyền lợi người tiêu dùng và pháp luật về bảo vệ dữ liệu cá nhân dành cho Khách hàng. Trường hợp bất kỳ nội dung nào của văn bản này hạn chế quyền của Khách hàng là người tiêu dùng ở mức thấp hơn quy định của pháp luật, quy định của pháp luật được áp dụng theo khoản 1 Điều 25 Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15.

---

Chuẩn hóa theo quy định pháp luật

Nhật ký hệ thống và thời hạn lưu trữ

HiTechCloud ghi và lưu nhật ký hệ thống liên quan đến việc cung cấp dịch vụ tối thiểu 12 (mười hai) tháng nhằm phục vụ điều tra sự cố, đối soát và đáp ứng yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền. Nhật ký chứa dữ liệu cá nhân được bảo vệ theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, chỉ được truy cập theo nguyên tắc đặc quyền tối thiểu, và được xóa an toàn khi hết thời hạn lưu trữ hoặc khi không còn mục đích xử lý.