Chính sách bảo vệ an ninh mạng đối với hệ thống thông tin

PHẦN I – MỤC ĐÍCH VÀ PHẠM VI ÁP DỤNG

第 1 条、目的

1.1. Chính sách này quy định cách thức Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (thương hiệu HiTechCloud, sau đây gọi là “HiTechCloud”) tổ chức bảo vệ an ninh mạng đối với hệ thống thông tin do mình làm chủ quản, và cách thức phối hợp với Khách hàng đối với hệ thống thông tin của Khách hàng vận hành trên hạ tầng của HiTechCloud.

1.2. Chính sách này nhằm thực hiện nghĩa vụ theo Luật An ninh mạng số 116/2025/QH15 và Nghị định số 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin, đồng thời làm rõ ranh giới trách nhiệm giữa HiTechCloud và Khách hàng để tránh khoảng trống tuân thủ.

条 2。适用范围

2.1. Phạm vi bao gồm: hạ tầng trung tâm dữ liệu, hạ tầng mạng, nền tảng ảo hoá và điện toán đám mây, hệ thống quản trị và vận hành nội bộ, hệ thống hỗ trợ khách hàng, và các hệ thống thông tin khác do HiTechCloud làm chủ quản.

2.2. Phạm vi không bao gồm hệ thống thông tin, ứng dụng, cơ sở dữ liệu và cấu hình bảo mật do Khách hàng tự triển khai, tự cấu hình và tự quản trị bên trong tài nguyên được cấp, trừ phần dịch vụ quản trị mà Khách hàng đặt riêng bằng hợp đồng.

2.3. Chính sách này áp dụng đối với người lao động, cộng tác viên, nhà thầu, nhà cung cấp dịch vụ phụ của HiTechCloud và đối với Khách hàng trong phần nghĩa vụ được nêu tại Phần V.

2.4. Chính sách này được áp dụng đồng thời với Chính sách Bảo mật Hệ thống Thông tin, Chính sách Quản lý Lỗ hổng Bảo mật và Vá lỗi, Chính sách Giám sát và Ghi nhật ký Hệ thống, Chính sách Kiểm soát Truy cập (IAM), Chính sách Định danh Địa chỉ IP, Lưu trữ và Cung cấp Nhật ký Kết nối và Chính sách Sao lưu và Khôi phục sau Thảm hoạ.

PHẦN II – GIẢI THÍCH TỪ NGỮ

Điều 3. Giải thích từ ngữ

• Hệ thống thông tin là tập hợp phần cứng, phần mềm, cơ sở dữ liệu và hạ tầng mạng được tổ chức để thu thập, xử lý, lưu trữ và trao đổi thông tin phục vụ một hoặc một số hoạt động nghiệp vụ xác định.
• Chủ quản hệ thống thông tin là cơ quan, tổ chức, cá nhân có thẩm quyền quyết định việc xây dựng, vận hành, nâng cấp, mở rộng và bảo vệ hệ thống thông tin đó, và chịu trách nhiệm về an ninh mạng đối với hệ thống thông tin đó.
• Cấp độ an ninh mạng là mức độ yêu cầu bảo vệ được xác định cho hệ thống thông tin căn cứ vào tầm quan trọng, quy mô, tính chất dữ liệu xử lý và mức độ hậu quả khi hệ thống bị xâm phạm, theo quy định tại Nghị định số 331/2026/NĐ-CP.
• Hồ sơ đề xuất cấp độ là hồ sơ xác định cấp độ an ninh mạng của hệ thống thông tin cùng phương án bảo vệ tương ứng, được lập, thẩm định và phê duyệt theo quy định của pháp luật.
• Sự cố an ninh mạng là sự việc bất ngờ xảy ra trên không gian mạng gây hoặc có nguy cơ gây tổn hại tới tính bí mật, tính toàn vẹn hoặc tính khả dụng của hệ thống thông tin và dữ liệu.
• Mô hình trách nhiệm chung là mô hình phân định trách nhiệm bảo vệ theo lớp: bên cung cấp hạ tầng chịu trách nhiệm về an ninh của hạ tầng, bên sử dụng dịch vụ chịu trách nhiệm về an ninh của hệ thống, dữ liệu và cấu hình triển khai trên hạ tầng đó.

PHẦN III – NGUYÊN TẮC

Điều 4. Nguyên tắc bảo vệ an ninh mạng

4.1. Tuân thủ Hiến pháp và pháp luật; bảo đảm quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân; không lấy lý do bảo vệ an ninh mạng để can thiệp vượt mức cần thiết vào dữ liệu và hoạt động hợp pháp của Khách hàng.

4.2. Bảo vệ theo cấp độ: mức độ đầu tư và mức độ chặt chẽ của biện pháp bảo vệ tương xứng với cấp độ an ninh mạng đã được xác định cho từng hệ thống thông tin.

4.3. Bảo vệ nhiều lớp: kết hợp biện pháp quản lý và biện pháp kỹ thuật, phòng ngừa từ lớp vật lý, lớp mạng, lớp nền tảng đến lớp ứng dụng và dữ liệu, không dựa vào một biện pháp duy nhất.

4.4. An ninh ngay từ khâu thiết kế: yêu cầu an ninh mạng được đưa vào từ giai đoạn thiết kế, mua sắm và triển khai, không bổ sung sau khi hệ thống đã đưa vào vận hành.

4.5. Không tin cậy mặc định: mọi truy cập đều phải được xác thực, phân quyền và ghi nhật ký, kể cả truy cập từ bên trong mạng nội bộ.

4.6. Liên tục và kiểm chứng được: biện pháp bảo vệ được duy trì liên tục, được kiểm tra định kỳ và có bằng chứng lưu trữ phục vụ chứng minh tuân thủ.

PHẦN IV – NỘI DUNG CHÍNH SÁCH

Điều 5. Kiểm kê và phân loại hệ thống thông tin

5.1. HiTechCloud lập và duy trì danh mục hệ thống thông tin do mình làm chủ quản. Mỗi hệ thống được ghi nhận: tên hệ thống, chức năng nghiệp vụ, phạm vi dữ liệu xử lý, thành phần hạ tầng, đơn vị vận hành, đầu mối phụ trách và cấp độ an ninh mạng.

5.2. Danh mục được cập nhật khi có hệ thống mới đưa vào vận hành, khi thay đổi phạm vi dữ liệu hoặc kiến trúc, và được rà soát tổng thể tối thiểu 01 (một) lần mỗi năm.

5.3. Việc xác định cấp độ an ninh mạng căn cứ vào tầm quan trọng của hệ thống, quy mô người sử dụng, tính chất dữ liệu xử lý và mức độ hậu quả khi hệ thống bị xâm phạm, theo tiêu chí quy định tại Nghị định số 331/2026/NĐ-CP.

5.4. Hệ thống thông tin thuộc trường hợp phải lập hồ sơ đề xuất cấp độ được lập hồ sơ, trình thẩm định và phê duyệt theo trình tự, thủ tục và thẩm quyền do pháp luật quy định. Hồ sơ và quyết định phê duyệt được lưu trữ trong suốt vòng đời hệ thống.

5.5. Khi cấp độ đã phê duyệt không còn phù hợp do thay đổi về quy mô, dữ liệu hoặc kiến trúc, HiTechCloud thực hiện đánh giá lại và cập nhật hồ sơ theo quy định.

Điều 6. Phương án bảo vệ theo cấp độ

6.1. Mỗi hệ thống thông tin có phương án bảo vệ tương ứng với cấp độ đã xác định, gồm biện pháp quản lý và biện pháp kỹ thuật. Phương án bảo vệ được phê duyệt trước khi hệ thống đưa vào vận hành chính thức.

6.2. Biện pháp quản lý bao gồm tối thiểu: quy định nội bộ về bảo đảm an ninh mạng; phân công trách nhiệm và đầu mối; quản lý thay đổi; quản lý rủi ro; quản lý nhà cung cấp và bên thứ ba; đào tạo nhận thức; kiểm tra, đánh giá định kỳ; và quản lý sự cố.

6.3. Biện pháp kỹ thuật bao gồm tối thiểu:

• bảo vệ an ninh vật lý khu vực đặt thiết bị, kiểm soát ra vào và giám sát hình ảnh;
• phân vùng mạng, kiểm soát luồng dữ liệu giữa các vùng, tường lửa và tường lửa ứng dụng web;
• phát hiện và ngăn chặn xâm nhập, phòng chống mã độc, phòng chống tấn công từ chối dịch vụ;
• xác thực đa yếu tố và kiểm soát truy cập theo đặc quyền tối thiểu đối với tài khoản quản trị;
• mã hoá dữ liệu khi truyền và khi lưu trữ đối với dữ liệu cần bảo vệ;
• ghi nhật ký tập trung, giám sát an ninh và cảnh báo theo Chính sách Giám sát và Ghi nhật ký Hệ thống;
• quản lý điểm yếu, cập nhật bản vá và kiểm tra cấu hình an toàn;
• sao lưu dữ liệu và phương án khôi phục hoạt động.

6.4. Biện pháp bảo vệ được ghi nhận thành cấu hình chuẩn (baseline) cho từng loại thiết bị và nền tảng. Việc sai lệch khỏi cấu hình chuẩn phải được phê duyệt và ghi nhận lý do.

Điều 7. Ranh giới trách nhiệm giữa HiTechCloud và Khách hàng

7.1. HiTechCloud là chủ quản hạ tầng: chịu trách nhiệm về an ninh mạng của trung tâm dữ liệu, hạ tầng mạng, nền tảng ảo hoá, hệ thống lưu trữ, mặt phẳng quản trị dịch vụ và các dịch vụ nền tảng do HiTechCloud vận hành.

7.2. Khách hàng là chủ quản hệ thống thông tin do Khách hàng triển khai trên hạ tầng của HiTechCloud: chịu trách nhiệm xác định cấp độ an ninh mạng, lập hồ sơ đề xuất cấp độ nếu thuộc trường hợp phải lập, xây dựng và thực hiện phương án bảo vệ đối với hệ điều hành khách, ứng dụng, cơ sở dữ liệu, tài khoản, khoá và dữ liệu của mình.

7.3. Việc HiTechCloud cung cấp hạ tầng và công cụ bảo mật không làm chuyển giao tư cách chủ quản hệ thống thông tin của Khách hàng sang HiTechCloud, và không làm phát sinh nghĩa vụ của HiTechCloud phải lập hồ sơ đề xuất cấp độ thay cho Khách hàng.

7.4. Ranh giới trách nhiệm theo từng nhóm dịch vụ được xác định như sau:

服务类别	HiTechCloud 承担责任	客户承担责任
服务器托管（Colocation）	An ninh vật lý, điện, làm mát, kết nối, kiểm soát ra vào	Toàn bộ phần cứng, hệ điều hành, ứng dụng, dữ liệu và cấu hình mạng của thiết bị đặt tại trung tâm dữ liệu
Máy chủ vật lý riêng, máy chủ ảo, Cloud GPU	Hạ tầng vật lý, mạng, nền tảng ảo hoá, mặt phẳng quản trị	Hệ điều hành khách, bản vá, ứng dụng, tài khoản, cấu hình tường lửa nội bộ, dữ liệu và sao lưu ở lớp ứng dụng
Nền tảng được quản trị (cơ sở dữ liệu, Kubernetes, lưu trữ đối tượng)	Hạ tầng, nền tảng, bản vá nền tảng, khả năng sẵn sàng của dịch vụ	Cấu hình bảo mật ở lớp nền tảng, phân quyền, dữ liệu và mã nguồn ứng dụng
Dịch vụ quản trị mở rộng theo hợp đồng riêng	Các hạng mục được nêu cụ thể trong hợp đồng dịch vụ quản trị	Các hạng mục ngoài phạm vi hợp đồng dịch vụ quản trị

7.5. Trường hợp Khách hàng thuộc đối tượng có nghĩa vụ riêng theo pháp luật chuyên ngành, Khách hàng chủ động thông báo cho HiTechCloud để hai bên thống nhất phạm vi hỗ trợ kỹ thuật và nghĩa vụ phối hợp bằng văn bản.

Điều 8. Kiểm tra, đánh giá an ninh mạng

8.1. HiTechCloud thực hiện kiểm tra, đánh giá an ninh mạng đối với hệ thống thông tin do mình làm chủ quản theo định kỳ tối thiểu 01 (một) lần mỗi năm, và kiểm tra đột xuất khi có thay đổi lớn về kiến trúc, khi phát hiện điểm yếu nghiêm trọng hoặc sau sự cố.

8.2. Nội dung kiểm tra bao gồm: rà soát tuân thủ quy định nội bộ và phương án bảo vệ đã phê duyệt; rà soát cấu hình an toàn; dò quét điểm yếu; kiểm thử xâm nhập đối với hệ thống có mức độ quan trọng cao; và đánh giá hiệu lực của biện pháp giám sát, ứng phó.

8.3. Kết quả kiểm tra được lập thành báo cáo nêu rõ điểm không phù hợp, mức độ rủi ro, biện pháp khắc phục, đầu mối chịu trách nhiệm và thời hạn hoàn thành. Điểm không phù hợp mức nghiêm trọng được ưu tiên khắc phục theo Chính sách Quản lý Lỗ hổng Bảo mật và Vá lỗi.

8.4. HiTechCloud phối hợp với cơ quan nhà nước có thẩm quyền trong hoạt động kiểm tra, đánh giá an ninh mạng theo yêu cầu hợp pháp, đúng thẩm quyền và đúng trình tự, thủ tục; bố trí đầu mối, cung cấp tài liệu và tạo điều kiện kỹ thuật trong phạm vi yêu cầu.

8.5. Việc kiểm tra, đánh giá liên quan tới hệ thống thông tin của Khách hàng chỉ được thực hiện khi có yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền hoặc khi Khách hàng đồng ý bằng văn bản. HiTechCloud thông báo cho Khách hàng khi pháp luật không cấm việc thông báo.

8.6. Khách hàng có quyền tự thực hiện hoặc thuê bên thứ ba kiểm thử xâm nhập đối với hệ thống thông tin của mình, với điều kiện thông báo trước cho HiTechCloud, giới hạn phạm vi trong tài nguyên của chính Khách hàng và tuân thủ Chính sách Sử dụng được Chấp nhận (AUP).

Điều 9. Giám sát an ninh mạng

9.1. HiTechCloud duy trì năng lực giám sát an ninh mạng liên tục đối với hạ tầng thuộc phạm vi quản lý, gồm thu thập nhật ký tập trung, tương quan sự kiện, phát hiện bất thường và cảnh báo, theo Chính sách Giám sát và Ghi nhật ký Hệ thống.

9.2. Nhật ký phục vụ giám sát được lưu trữ theo thời hạn quy định tại Chính sách Giám sát và Ghi nhật ký Hệ thống và Chính sách Định danh Địa chỉ IP, Lưu trữ và Cung cấp Nhật ký Kết nối.

9.3. Hoạt động giám sát giới hạn ở thông tin cần thiết cho mục đích bảo đảm an ninh, an toàn và chất lượng dịch vụ; không mở rộng sang nội dung dữ liệu của Khách hàng, trừ các trường hợp ngoại lệ đã nêu tại Chính sách Giám sát và Ghi nhật ký Hệ thống.

Điều 10. Ứng phó, khắc phục sự cố an ninh mạng

10.1. HiTechCloud duy trì quy trình ứng phó sự cố an ninh mạng gồm các giai đoạn: tiếp nhận và phân loại; ngăn chặn và cô lập; điều tra và xác định nguyên nhân; khắc phục và khôi phục; tổng kết và cải tiến.

10.2. Sự cố được phân mức từ P1 đến P4. Sự cố mức P1 kích hoạt quy trình ứng phó với thời gian phản hồi tối đa 15 (mười lăm) phút và được báo cáo tới lãnh đạo có thẩm quyền.

10.3. HiTechCloud thực hiện nghĩa vụ báo cáo sự cố an ninh mạng tới cơ quan nhà nước có thẩm quyền và tham gia phối hợp ứng phó, khắc phục sự cố theo quy định của pháp luật về an ninh mạng.

10.4. Trong quá trình ứng phó, HiTechCloud thực hiện biện pháp bảo toàn chứng cứ điện tử: giữ nguyên trạng nhật ký liên quan, chụp ảnh trạng thái hệ thống khi cần thiết, ghi nhận thời điểm và người thực hiện từng thao tác xử lý.

10.5. Khách hàng bị ảnh hưởng được thông báo về sự cố trong thời hạn sớm nhất có thể, kèm thông tin về phạm vi ảnh hưởng đã xác định, biện pháp đã thực hiện và khuyến nghị hành động, trong phạm vi pháp luật cho phép và không cản trở hoạt động điều tra.

10.6. Sự cố liên quan tới dữ liệu cá nhân được xử lý đồng thời theo Quy trình Thông báo Vi phạm Dữ liệu Cá nhân và pháp luật về bảo vệ dữ liệu cá nhân.

Điều 11. Quản lý thay đổi, điểm yếu và chuỗi cung ứng

11.1. Mọi thay đổi có tác động tới an ninh của hệ thống thông tin phải qua quy trình quản lý thay đổi: đánh giá tác động, phê duyệt, kiểm thử, triển khai theo cửa sổ thời gian và phương án quay lui.

11.2. Điểm yếu bảo mật được rà soát, phân loại theo mức độ và khắc phục theo thời hạn quy định tại Chính sách Quản lý Lỗ hổng Bảo mật và Vá lỗi.

11.3. Sản phẩm, dịch vụ an ninh mạng do HiTechCloud mua sắm hoặc cung cấp được lựa chọn từ nhà cung cấp đáp ứng điều kiện kinh doanh theo pháp luật về kinh doanh sản phẩm, dịch vụ an ninh mạng, trong đó có Nghị định số 332/2026/NĐ-CP.

11.4. Nhà cung cấp và đối tác có quyền truy cập hệ thống thông tin của HiTechCloud phải cam kết tuân thủ yêu cầu an ninh mạng tương đương, theo Chính sách An toàn Thông tin dành cho Nhà cung cấp và Đối tác.

PHẦN V – TRÁCH NHIỆM CỦA CÁC BÊN

Điều 12. Trách nhiệm của HiTechCloud với tư cách chủ quản hạ tầng

12.1. Xác định cấp độ an ninh mạng, lập và cập nhật hồ sơ đề xuất cấp độ đối với hệ thống thông tin do mình làm chủ quản thuộc trường hợp phải lập theo quy định.

12.2. Xây dựng, phê duyệt và thực hiện phương án bảo vệ tương ứng với cấp độ; bố trí nguồn lực, nhân sự và ngân sách bảo đảm thực hiện.

12.3. Duy trì giám sát liên tục, ứng phó sự cố, báo cáo và phối hợp với cơ quan nhà nước có thẩm quyền theo quy định.

12.4. Tổ chức kiểm tra, đánh giá định kỳ và lưu trữ hồ sơ, biên bản, báo cáo phục vụ chứng minh tuân thủ.

12.5. Cung cấp cho Khách hàng thông tin cần thiết về biện pháp bảo vệ ở lớp hạ tầng để Khách hàng hoàn thiện hồ sơ và phương án bảo vệ của mình, trong phạm vi không làm lộ kiến trúc bảo mật nội bộ và không gây rủi ro an toàn cho hệ thống.

Điều 13. Trách nhiệm của Khách hàng với tư cách chủ quản hệ thống thông tin

13.1. Tự xác định cấp độ an ninh mạng của hệ thống thông tin do mình triển khai và thực hiện thủ tục hồ sơ đề xuất cấp độ nếu thuộc trường hợp phải lập theo quy định của pháp luật.

13.2. Xây dựng và thực hiện phương án bảo vệ đối với phần thuộc trách nhiệm của mình theo bảng phân định tại Điều 7, gồm quản lý bản vá hệ điều hành khách và ứng dụng, quản lý tài khoản và khoá bí mật, cấu hình tường lửa nội bộ, mã hoá dữ liệu và sao lưu ở lớp ứng dụng.

13.3. Bật, cấu hình và lưu trữ nhật ký của hệ thống thông tin do mình quản trị; bảo đảm khả năng truy nguyên khi có yêu cầu hợp pháp.

13.4. Thông báo cho HiTechCloud ngay khi phát hiện sự cố an ninh mạng có khả năng ảnh hưởng tới hạ tầng dùng chung hoặc tới khách hàng khác, qua tổng đài 0865.920.041 hoặc thư điện tử abuse@photuesoftware.com.

13.5. Phối hợp với HiTechCloud và cơ quan nhà nước có thẩm quyền trong hoạt động kiểm tra, đánh giá, ứng phó sự cố liên quan tới hệ thống thông tin của mình.

13.6. Không thực hiện hành vi làm suy giảm an ninh của hạ tầng dùng chung, gồm quét cổng, dò tìm điểm yếu, tấn công thử nghiệm nhằm vào tài nguyên không thuộc quyền sử dụng của mình.

Điều 14. Trách nhiệm của người lao động, nhà thầu và nhà cung cấp dịch vụ phụ

14.1. Thực hiện đúng quy định nội bộ về an ninh mạng, quy trình quản lý thay đổi và quy trình ứng phó sự cố trong phạm vi nhiệm vụ được giao.

14.2. Báo cáo ngay dấu hiệu sự cố, điểm yếu hoặc hành vi bất thường cho bộ phận An toàn thông tin; không tự ý xử lý vượt thẩm quyền làm mất chứng cứ điện tử.

14.3. Tham gia đầy đủ chương trình đào tạo nhận thức an ninh mạng do HiTechCloud tổ chức, tối thiểu 01 (một) lần mỗi năm.

PHẦN VI – XỬ LÝ VI PHẠM

Điều 15. Xử lý vi phạm

15.1. Người lao động, nhà thầu vi phạm Chính sách này bị xử lý theo nội quy lao động, hợp đồng đã ký và quy định của pháp luật, tuỳ theo tính chất và mức độ vi phạm.

15.2. Khách hàng vi phạm nghĩa vụ tại Điều 13 gây rủi ro cho hạ tầng dùng chung hoặc cho khách hàng khác có thể bị áp dụng biện pháp: yêu cầu khắc phục trong thời hạn ấn định; hạn chế kết nối; tạm ngưng một phần hoặc toàn bộ dịch vụ theo Chính sách Tạm ngưng và Chấm dứt Dịch vụ; chấm dứt hợp đồng đối với vi phạm nghiêm trọng hoặc lặp lại.

15.3. Trừ trường hợp khẩn cấp hoặc có yêu cầu của cơ quan nhà nước có thẩm quyền, HiTechCloud thông báo trước và dành thời hạn hợp lý để Khách hàng khắc phục trước khi áp dụng biện pháp hạn chế hoặc tạm ngưng.

15.4. Vi phạm quy định về an ninh mạng có thể bị xử phạt vi phạm hành chính theo Nghị định số 330/2026/NĐ-CP hoặc bị xử lý theo quy định khác của pháp luật. Việc áp dụng biện pháp theo Chính sách này không thay thế và không loại trừ trách nhiệm pháp lý của bên vi phạm.

PHẦN VII – RÀ SOÁT VÀ CẬP NHẬT

Điều 16. Rà soát và cập nhật

16.1. Chính sách này được rà soát tối thiểu 01 (một) lần mỗi 12 (mười hai) tháng, hoặc khi có thay đổi về pháp luật, kiến trúc hạ tầng, phạm vi dịch vụ, hoặc sau sự cố an ninh mạng nghiêm trọng.

16.2. Danh mục hệ thống thông tin, cấp độ an ninh mạng và phương án bảo vệ được rà soát đồng thời với kỳ rà soát Chính sách này.

16.3. Mọi sửa đổi được công bố trước 30 (ba mươi) ngày tại https://hitechcloud.vn/tai-lieu-ho-tro/, trừ trường hợp phải áp dụng ngay theo quy định của pháp luật. Bản tiếng Việt có giá trị pháp lý cao nhất.

16.4. Đầu mối tiếp nhận: tổng đài 0865.920.041; thư điện tử cskh@photuesoftware.com đối với yêu cầu hỗ trợ và khiếu nại dịch vụ; thư điện tử abuse@photuesoftware.com đối với báo cáo sự cố và hành vi vi phạm.

PHẦN VIII – LUẬT ÁP DỤNG VÀ GIẢI QUYẾT TRANH CHẤP

Điều 17. Luật áp dụng và giải quyết tranh chấp

17.1. Văn bản này được điều chỉnh và giải thích theo pháp luật Việt Nam. Trường hợp bất kỳ điều khoản nào bị cơ quan nhà nước có thẩm quyền tuyên là vô hiệu hoặc không thể thi hành, các điều khoản còn lại vẫn giữ nguyên hiệu lực.

17.2. Mọi tranh chấp, khiếu nại phát sinh từ hoặc liên quan đến văn bản này trước hết được giải quyết bằng thương lượng thiện chí giữa các bên. Trình tự tiếp nhận và xử lý khiếu nại thực hiện theo Quy trình Khiếu nại và Giải quyết Tranh chấp.

17.3. Nếu thương lượng không đạt kết quả trong vòng 30 (ba mươi) ngày kể từ lần thương lượng đầu tiên, tranh chấp được đưa ra Toà án nhân dân có thẩm quyền tại Thành phố Hồ Chí Minh giải quyết theo pháp luật Việt Nam. Trường hợp các bên có thoả thuận trọng tài riêng bằng văn bản, thoả thuận trọng tài được ưu tiên áp dụng.

---

PHẦN IX – CĂN CỨ PHÁP LÝ

• Bộ luật Tố tụng dân sự số 92/2015/QH13 ngày 25/11/2015, có hiệu lực từ ngày 01/7/2016 — về thẩm quyền của Toà án và trình tự giải quyết tranh chấp dân sự, kinh doanh thương mại;
• Luật Trọng tài thương mại số 54/2010/QH12 ngày 17/6/2010, có hiệu lực từ ngày 01/01/2011 — về hiệu lực của thoả thuận trọng tài khi các bên lựa chọn trọng tài thay cho Toà án;
• Luật An ninh mạng số 116/2025/QH15 ngày 10/12/2025, có hiệu lực từ ngày 01/7/2026 (thay thế Luật An ninh mạng số 24/2018/QH14 và Luật An toàn thông tin mạng số 86/2015/QH13);
• Nghị định số 331/2026/NĐ-CP của Chính phủ về bảo vệ an ninh mạng đối với hệ thống thông tin — căn cứ xác định cấp độ an ninh mạng, hồ sơ đề xuất cấp độ và phương án bảo vệ theo cấp độ;
• Nghị định số 333/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng;
• Nghị định số 341/2026/NĐ-CP ngày 01/9/2026 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng về hoạt động mật mã dân sự;
• Nghị định số 329/2026/NĐ-CP của Chính phủ về lực lượng bảo vệ an ninh mạng;
• Nghị định số 332/2026/NĐ-CP của Chính phủ về kinh doanh sản phẩm, dịch vụ an ninh mạng;
• Nghị định số 327/2026/NĐ-CP của Chính phủ về xử lý thông tin, hành vi vi phạm pháp luật trên không gian mạng, có hiệu lực từ ngày 19/8/2026;
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;
• Luật Dữ liệu số 60/2024/QH15;
• Luật Viễn thông số 24/2023/QH15, được sửa đổi, bổ sung bởi Luật số 47/2024/QH15, Luật số 112/2025/QH15 và Luật số 116/2025/QH15; Nghị định số 163/2024/NĐ-CP;
• Nghị định số 147/2024/NĐ-CP của Chính phủ về quản lý, cung cấp, sử dụng dịch vụ Internet và thông tin trên mạng;
• Nghị định số 330/2026/NĐ-CP của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân;
• Nghị định số 174/2026/NĐ-CP của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực bưu chính, viễn thông, công nghệ thông tin và giao dịch điện tử;
• ISO/IEC 27001:2022 và TCVN ISO/IEC 27001:2019 – Hệ thống quản lý an toàn thông tin (tiêu chuẩn tham chiếu, không phải văn bản quy phạm pháp luật).

Văn bản liên quan: Chính sách Bảo mật Hệ thống Thông tin; Chính sách Quản lý Lỗ hổng Bảo mật và Vá lỗi; Chính sách Giám sát và Ghi nhật ký Hệ thống; Chính sách Kiểm soát Truy cập (IAM); Chính sách Định danh Địa chỉ IP, Lưu trữ và Cung cấp Nhật ký Kết nối; Chính sách Sao lưu và Khôi phục sau Thảm hoạ; Quy trình Thông báo Vi phạm Dữ liệu Cá nhân; Chính sách An toàn Thông tin dành cho Nhà cung cấp và Đối tác; Chính sách Sử dụng được Chấp nhận (AUP) — công bố tại https://hitechcloud.vn/tai-lieu-ho-tro/.

---

Cập nhật theo khung pháp lý 2026-2027

Phần này bổ sung các nội dung bắt buộc theo pháp luật có hiệu lực trong năm 2026-2027 và là bộ phận không tách rời của văn bản. Trường hợp có mâu thuẫn với nội dung phía trên, phần này được ưu tiên áp dụng.

Thông báo sự cố an toàn thông tin và vi phạm dữ liệu cá nhân

Khi phát hiện sự cố an toàn thông tin hoặc sự cố lộ, mất, xâm phạm dữ liệu cá nhân có ảnh hưởng đến dữ liệu của Khách hàng, HiTechCloud thực hiện:

• Thông báo cho Khách hàng không chậm hơn 24 (hai mươi bốn) giờ kể từ thời điểm phát hiện, qua kênh liên hệ khẩn cấp đã đăng ký, kèm thông tin ban đầu về thời điểm, phạm vi, loại dữ liệu bị ảnh hưởng và biện pháp đã triển khai;
• Phối hợp với Khách hàng thực hiện nghĩa vụ thông báo cho cơ quan nhà nước có thẩm quyền trong thời hạn 72 (bảy mươi hai) giờ theo Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, và thông báo cho chủ thể dữ liệu khi pháp luật yêu cầu;
• Cung cấp báo cáo điều tra nguyên nhân gốc và kế hoạch khắc phục trong vòng 15 (mười lăm) ngày kể từ ngày thông báo ban đầu;
• Không đưa ra công bố công khai gắn tên Khách hàng về sự cố nếu chưa có sự thống nhất bằng văn bản, trừ trường hợp pháp luật bắt buộc.

Khách hàng có nghĩa vụ đối ứng tương tự trong vòng 24 giờ đối với sự cố phát sinh từ phía Khách hàng có ảnh hưởng đến hệ thống của HiTechCloud.

Tuân thủ pháp luật thương mại điện tử

Hoạt động cung cấp dịch vụ qua website, ứng dụng di động và nền tảng số của HiTechCloud tuân thủ 《第122/2025/QH15号电子商务法》 和 Nghị định số 248/2026/NĐ-CP quy định chi tiết một số điều của Luật Thương mại điện tử, bao gồm nghĩa vụ công bố thông tin về chủ thể cung cấp dịch vụ, giá và điều kiện giao dịch chung, quy trình giao kết hợp đồng điện tử cho phép Khách hàng rà soát và xác nhận nội dung trước khi giao kết, lưu trữ chứng từ giao dịch, và cơ chế tiếp nhận, giải quyết khiếu nại.

Hóa đơn điện tử, chứng từ điện tử và nghĩa vụ thuế

HiTechCloud lập và gửi hóa đơn điện tử theo Luật Quản lý thuế số 108/2025/QH15, Nghị định số 254/2026/NĐ-CP quy định chi tiết một số điều và biện pháp để tổ chức, hướng dẫn thi hành Luật Quản lý thuế số 108/2025/QH15 về hóa đơn điện tử, chứng từ điện tử 和 Thông tư số 91/2026/TT-BTC. Các nội dung về quản lý thuế thực hiện theo Nghị định số 252/2026/NĐ-CP 和 Thông tư số 89/2026/TT-BTC.

• Hóa đơn được lập tại thời điểm hoàn thành việc cung cấp dịch vụ hoặc tại thời điểm thu tiền, tùy thời điểm nào đến trước; dịch vụ theo chu kỳ thì lập theo từng chu kỳ đã thỏa thuận.
• Khách hàng cung cấp chính xác thông tin định danh phục vụ lập hóa đơn và thông báo thay đổi trong 05 (năm) ngày làm việc.
• Hóa đơn có sai sót được thông báo trong 03 (ba) ngày làm việc và xử lý theo trình tự tại Nghị định số 254/2026/NĐ-CP và Thông tư số 91/2026/TT-BTC.
• Báo giá, đề nghị thanh toán, biên bản bàn giao, nghiệm thu, đối soát công nợ được lập dưới dạng chứng từ điện tử ký số, có giá trị pháp lý tương đương chứng từ giấy theo Luật Giao dịch điện tử số 20/2023/QH15 và Nghị định số 23/2025/NĐ-CP.

Ngoại lệ của giới hạn trách nhiệm

Giới hạn trách nhiệm quy định tại văn bản này không áp dụng đối với: (i) thiệt hại phát sinh từ hành vi cố ý hoặc gian lận của một Bên hoặc của người do Bên đó sử dụng; (ii) vi phạm nghĩa vụ bảo mật thông tin và nghĩa vụ bảo vệ dữ liệu cá nhân; (iii) hành vi xâm phạm quyền sở hữu trí tuệ của Bên kia hoặc của bên thứ ba; (iv) thiệt hại về tính mạng, sức khỏe của con người; (v) nghĩa vụ hoàn trả các khoản tiền mà một Bên đang giữ hộ hoặc đã thu nhưng không có căn cứ; (vi) các trách nhiệm mà pháp luật không cho phép loại trừ hoặc giới hạn.

Việc giới hạn trách nhiệm không làm mất quyền của Bên bị vi phạm được áp dụng các chế tài khác theo Điều 292 Luật Thương mại số 36/2005/QH11.

Mức trần trách nhiệm, các ngoại lệ và biện pháp bồi thường

Các quy định dưới đây được áp dụng theo Phụ lục cập nhật Tiêu chuẩn pháp lý năm 2026 và Phụ lục cập nhật Điều khoản dịch vụ năm 2026 do HiTechCloud ban hành, áp dụng thống nhất cho toàn bộ hệ thống điều khoản, tiêu chuẩn pháp lý dịch vụ và chính sách của HiTechCloud. Trường hợp có mâu thuẫn với nội dung phía trên, quy định tại phần này được áp dụng.

Tổng trách nhiệm bồi thường của HiTechCloud phát sinh từ hoặc liên quan đến Dịch vụ, với mọi căn cứ pháp lý cộng gộp, không vượt quá tổng phí dịch vụ mà Khách hàng đã thực trả cho chu kỳ thanh toán gần nhất trước thời điểm phát sinh sự kiện gây thiệt hại. Đây là công thức thống nhất cho toàn bộ hệ thống văn bản của HiTechCloud; mọi công thức khác quy định tại văn bản này được hiểu theo công thức này.

Giới hạn trách nhiệm nêu trên KHÔNG áp dụng đối với: (i) lỗi cố ý hoặc gian lận; (ii) vi phạm nghĩa vụ bảo mật và bảo vệ dữ liệu cá nhân; (iii) xâm phạm quyền sở hữu trí tuệ; (iv) thiệt hại về tính mạng, sức khỏe; (v) hoàn trả tiền giữ hộ hoặc thu không có căn cứ; (vi) trách nhiệm mà pháp luật không cho phép loại trừ.

Biện pháp giảm trừ phí khi vi phạm cam kết mức độ dịch vụ là biện pháp bồi thường chính, không phải biện pháp duy nhất; Khách hàng bảo lưu quyền yêu cầu bồi thường thiệt hại thực tế theo Bộ luật Dân sự số 91/2015/QH13 và Luật Thương mại số 36/2005/QH11 trong các trường hợp nêu tại đoạn trên.

Yêu cầu bồi hoàn, giảm trừ phí theo cam kết mức độ dịch vụ được Khách hàng gửi bằng văn bản hoặc qua hệ thống phiếu yêu cầu (ticket) trong thời hạn 30 (ba mươi) ngày kể từ ngày kết thúc chu kỳ thanh toán có sự cố. Trường hợp sự cố kéo dài qua nhiều chu kỳ, thời hạn được tính từ ngày HiTechCloud xác nhận đã khắc phục xong sự cố. Quá thời hạn này, quyền yêu cầu bồi hoàn chấm dứt; quy định này không làm thay đổi thời hiệu khởi kiện mà pháp luật quy định là bắt buộc.

Các quy định về mức trần bồi hoàn và các trường hợp loại trừ không được áp dụng để hạn chế, loại trừ hoặc gây cản trở các quyền mà pháp luật về bảo vệ quyền lợi người tiêu dùng và pháp luật về bảo vệ dữ liệu cá nhân dành cho Khách hàng. Trường hợp bất kỳ nội dung nào của văn bản này hạn chế quyền của Khách hàng là người tiêu dùng ở mức thấp hơn quy định của pháp luật, quy định của pháp luật được áp dụng theo khoản 1 Điều 25 Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15.

---

Chuẩn hóa theo quy định pháp luật

Phân vai xử lý dữ liệu cá nhân

Trong quan hệ cung cấp dịch vụ theo văn bản này: Khách hàng là Bên Kiểm soát dữ liệu cá nhân đối với dữ liệu cá nhân của khách hàng, người dùng cuối, nhân sự và đối tác của Khách hàng được đưa vào, lưu trữ hoặc xử lý trên dịch vụ, và chịu trách nhiệm về căn cứ pháp lý của việc xử lý. HiTechCloud là Bên Xử lý dữ liệu cá nhân, chỉ xử lý theo phạm vi, mục đích và chỉ dẫn hợp pháp bằng văn bản của Khách hàng nhằm cung cấp dịch vụ, không sử dụng cho mục đích khác, không bán và không chuyển giao trái phép. Đối với phần dữ liệu HiTechCloud buộc phải xử lý để thực hiện nghĩa vụ luật định của chính mình (kê khai thuế, lưu nhật ký hệ thống, phòng chống gian lận, đáp ứng yêu cầu của cơ quan nhà nước có thẩm quyền), HiTechCloud là Bên Kiểm soát dữ liệu độc lập đối với phần dữ liệu đó.