Doanh nghiệp cung cấp phần mềm dịch vụ cần cam kết những gì với khách?

Doanh nghiệp phần mềm dịch vụ nắm dữ liệu của hàng trăm khách hàng. Bài viết liệt kê các cam kết cần có và cách chứng minh năng lực.

Một công ty phần mềm quản lý bán hàng phục vụ 500 cửa hàng. Một nền tảng quản lý nhân sự dùng bởi 200 doanh nghiệp. Ở vị trí này, doanh nghiệp phần mềm nắm giữ dữ liệu của rất nhiều tổ chức khác — và một sự cố ảnh hưởng tới tất cả cùng lúc.

Nghĩa vụ pháp lý nền tảng

Điều 10 Luật 71/2025/QH15 quy định: Cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động công nghiệp công nghệ số phải tuân thủ quy định của pháp luật về an toàn thông tin mạng, an ninh mạng, pháp luật về dữ liệu, dữ liệu cá nhân và pháp luật khác có liên quan.

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Cần phân biệt rõ vai trò: khách hàng doanh nghiệp là chủ quản dữ liệu của người dùng cuối; nhà cung cấp phần mềm xử lý theo yêu cầu. Nhưng nhà cung cấp vẫn có nghĩa vụ bảo vệ dữ liệu mình đang nắm giữ.

Mười cam kết nên có trong hợp đồng dịch vụ

1. Phân tách dữ liệu giữa các khách hàng

Đây là cam kết quan trọng nhất và cũng khó nhất về kỹ thuật. Khách hàng A tuyệt đối không thấy được dữ liệu của khách hàng B, kể cả do lỗi phần mềm.

Nhà cung cấp nên mô tả được cơ chế phân tách và có kiểm thử định kỳ.

2. Vị trí lưu trữ dữ liệu

Nêu rõ dữ liệu lưu ở đâu, có cam kết không tự ý chuyển vùng.

3. Nhân sự nhà cung cấp truy cập được gì

Kỹ sư của nhà cung cấp có xem được dữ liệu khách hàng không? Trong trường hợp nào? Có ghi nhật ký và thông báo không?

Thực hành tốt: quyền truy cập dữ liệu khách chỉ được cấp tạm thời khi xử lý sự cố, có phê duyệt và có ghi nhận.

4. Không sử dụng dữ liệu cho mục đích riêng

Bao gồm cả việc dùng dữ liệu để huấn luyện mô hình trí tuệ nhân tạo, phân tích thị trường, hoặc phát triển sản phẩm mới.

Đây là điều khoản khách hàng ngày càng quan tâm và nên được nêu rõ ràng, không viết mơ hồ.

5. Danh sách nhà thầu phụ

Dịch vụ hạ tầng, dịch vụ gửi thư, dịch vụ phân tích — mỗi bên là một nơi dữ liệu có thể đi qua. Khách hàng có quyền biết và được thông báo khi thay đổi.

6. Biện pháp bảo mật cụ thể

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Nên nêu cụ thể: mã hóa khi truyền và khi lưu, quản lý khóa, kiểm soát truy cập, xác thực nhiều lớp, ghi nhật ký, sao lưu.

7. Thông báo sự cố

Trong bao lâu, nội dung gồm gì. Nên tính bằng giờ. Đây là điều khoản quyết định khả năng khách hàng phản ứng kịp với người dùng cuối của họ.

8. Hỗ trợ khi có yêu cầu từ chủ thể dữ liệu

Khi người dùng cuối yêu cầu xem, sửa, xóa dữ liệu, khách hàng doanh nghiệp cần công cụ để thực hiện. Nếu phần mềm không cho phép xóa dữ liệu theo từng cá nhân, khách hàng không thực hiện được nghĩa vụ của mình.

9. Mức dịch vụ và bồi thường

Cam kết thời gian hoạt động, thời gian phản hồi, và hậu quả khi không đạt.

10. Rút dữ liệu và xóa khi chấm dứt

Định dạng xuất, thời gian được truy cập sau khi chấm dứt, chi phí, và cam kết xóa gồm cả bản sao lưu — có xác nhận bằng văn bản.

Điều khoản này quyết định khách hàng có bị khóa chặt vào sản phẩm hay không, và ngày càng được đưa vào tiêu chí lựa chọn.

Chứng minh năng lực thay vì chỉ cam kết

Khách hàng doanh nghiệp ngày càng yêu cầu bằng chứng, không chỉ lời hứa. Năm cách chứng minh:

Tài liệu mô tả kiến trúc bảo mật — công khai ở mức không lộ điểm yếu;
Chứng nhận theo tiêu chuẩn — khoản 1 Điều 7 Luật 71/2025/QH15 nêu việc quy định áp dụng tiêu chuẩn quốc tế, tiêu chuẩn khu vực, tiêu chuẩn nước ngoài, tiêu chuẩn quốc gia trong công nghiệp công nghệ số;
Kiểm thử xâm nhập định kỳ bởi bên thứ ba, cung cấp báo cáo tóm tắt;
Trang trạng thái công khai hiển thị tình trạng dịch vụ và lịch sử sự cố;
Báo cáo minh bạch về các yêu cầu cung cấp dữ liệu đã nhận và cách xử lý.

Điểm thứ tư có giá trị lớn về niềm tin: một nhà cung cấp công khai cả các lần sự cố đáng tin hơn nhà cung cấp không bao giờ nhắc tới sự cố.

Xử lý sự cố ảnh hưởng nhiều khách hàng

Đây là tình huống đặc thù của mô hình phần mềm dịch vụ. Sáu bước:

Chặn ngay — ngăn sự cố lan rộng;
Xác định phạm vi — khách hàng nào bị ảnh hưởng, dữ liệu gì;
Thông báo sớm cho tất cả khách hàng bị ảnh hưởng, kể cả khi chưa có đủ thông tin;
Cập nhật liên tục qua trang trạng thái;
Báo cáo chi tiết sau sự cố — nguyên nhân, tác động, biện pháp ngăn tái diễn;
Hỗ trợ khách hàng trong việc thông báo lại cho người dùng cuối của họ.

Điểm thứ ba là điểm nhiều nhà cung cấp làm sai. Chờ có đầy đủ thông tin mới thông báo khiến khách hàng mất thời gian quý giá để phản ứng.

Trách nhiệm với người dùng cuối

Người dùng cuối của khách hàng doanh nghiệp không có quan hệ trực tiếp với nhà cung cấp phần mềm. Nhưng dữ liệu của họ nằm trên hệ thống của nhà cung cấp.

Ba nguyên tắc: không liên hệ trực tiếp với người dùng cuối để tiếp thị; không dùng dữ liệu của họ ngoài phạm vi cung cấp dịch vụ; và hỗ trợ khách hàng doanh nghiệp thực hiện nghĩa vụ với họ.

Khi khách hàng ngừng thanh toán

Tình huống thực tế: khách hàng nợ phí, nhà cung cấp muốn ngừng dịch vụ. Ba nguyên tắc:

Không xóa dữ liệu ngay — cho thời gian hợp lý để khách lấy dữ liệu về;
Không dùng dữ liệu làm con tin — dữ liệu là của khách hàng, không phải công cụ đòi nợ;
Thông báo rõ lộ trình — khi nào ngừng dịch vụ, khi nào xóa dữ liệu.

Điểm thứ hai vừa là vấn đề pháp lý vừa là vấn đề uy tín trong ngành.

Danh sách kiểm tra

Có cơ chế phân tách dữ liệu giữa các khách hàng và đã kiểm thử chưa?
Kỹ sư nội bộ truy cập được dữ liệu khách trong trường hợp nào?
Có cam kết không dùng dữ liệu để huấn luyện mô hình không?
Khách hàng có xuất được toàn bộ dữ liệu ra định dạng phổ thông không?
Có trang trạng thái công khai không?
Cam kết thời gian thông báo sự cố tính bằng giờ hay mơ hồ?
Có công cụ để khách hàng xóa dữ liệu theo từng cá nhân không?

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 71/2025/QH15 Điều 10
Luật 148/2025/QH15 Điều 27
Luật 116/2025/QH15 Điều 26
Luật 71/2025/QH15 Điều 7

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.

Theo Luật Công nghiệp công nghệ số, doanh nghiệp cung cấp phần mềm dịch vụ cần cam kết những gì với khách?