Thuê dịch vụ đám mây cần thỏa thuận những điều khoản nào về dữ liệu?

Doanh nghiệp chuyển lên đám mây nhưng trách nhiệm với khách hàng không chuyển theo. Bài viết liệt kê các điều khoản cần có trong hợp đồng.

Điện toán đám mây đã thành lựa chọn mặc định cho phần lớn doanh nghiệp — rẻ hơn, linh hoạt hơn, không phải tự lo phần cứng. Luật Chuyển đổi số còn định hướng ưu tiên mô hình này trong khu vực công. Nhưng có một điều không thay đổi: trách nhiệm với dữ liệu khách hàng vẫn thuộc về doanh nghiệp.

Định hướng ưu tiên đám mây

Khoản 3 Điều 23 Luật 148/2025/QH15 quy định: Bộ, ngành, địa phương có trách nhiệm đánh giá, ưu tiên xem xét phương án lựa chọn mô hình triển khai trên điện toán đám mây trong các hoạt động đầu tư, mua sắm, thuê dịch vụ phục vụ hoạt động chuyển đổi số.

Đây là định hướng cho khu vực công, nhưng phản ánh xu hướng chung. Doanh nghiệp cung cấp giải pháp cho khu vực công cần chuẩn bị phương án đám mây; doanh nghiệp nói chung cũng đang đi theo hướng này.

Nguyên tắc nền tảng — trách nhiệm không chuyển giao

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Chủ quản dữ liệu là doanh nghiệp thu thập dữ liệu từ khách hàng, không phải nhà cung cấp đám mây. Khi khách hàng khiếu nại về dữ liệu của họ, người phải trả lời là doanh nghiệp.

Điều này dẫn tới một hệ quả thực tiễn: hợp đồng với nhà cung cấp đám mây cần đủ chặt để doanh nghiệp thực sự thực hiện được nghĩa vụ của mình.

Mười điều khoản cần có

1. Vị trí lưu trữ dữ liệu

Ghi rõ dữ liệu được lưu ở khu vực nào. Nhiều dịch vụ cho phép chọn vùng, nhưng mặc định có thể không phải vùng bạn muốn. Cần cả cam kết rằng nhà cung cấp không tự ý chuyển sang vùng khác mà không thông báo.

2. Danh sách nhà thầu phụ

Nhà cung cấp đám mây thường dùng dịch vụ của bên khác cho một số thành phần. Cần biết danh sách và có quyền được thông báo khi thay đổi.

3. Phạm vi sử dụng dữ liệu của nhà cung cấp

Nhà cung cấp có được đọc, phân tích, dùng dữ liệu của bạn cho mục đích của họ không? Điều khoản chuẩn nên là: chỉ xử lý theo chỉ dẫn của khách hàng, không dùng cho mục đích riêng.

Điều này đặc biệt quan trọng với các dịch vụ có tích hợp trí tuệ nhân tạo — cần làm rõ dữ liệu của bạn có được dùng để huấn luyện mô hình không.

4. Quyền truy cập của nhân sự nhà cung cấp

Kỹ sư của nhà cung cấp có xem được dữ liệu của bạn không? Trong trường hợp nào? Có ghi nhật ký và thông báo không?

5. Cam kết về bảo mật

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Hợp đồng nên nêu cụ thể: mã hóa khi truyền và khi lưu, quản lý khóa mã hóa, kiểm soát truy cập, và các chứng nhận bảo mật nhà cung cấp đang duy trì.

6. Thông báo sự cố

Nhà cung cấp phải thông báo cho bạn trong bao lâu kể từ khi phát hiện sự cố? Nội dung thông báo gồm gì? Đây là điều khoản quyết định khả năng bạn phản ứng kịp thời với khách hàng của mình.

Nên yêu cầu thời hạn tính bằng giờ, không phải "trong thời gian hợp lý".

7. Hỗ trợ khi có yêu cầu từ chủ thể dữ liệu

Khi khách hàng của bạn yêu cầu xem, sửa, xóa dữ liệu của họ, nhà cung cấp có công cụ hoặc hỗ trợ để bạn thực hiện không? Nếu dữ liệu nằm trên hệ thống của họ mà không có cách trích xuất hay xóa theo từng cá nhân, bạn không thực hiện được nghĩa vụ của mình.

8. Mức dịch vụ và bồi thường

Cam kết thời gian hoạt động, thời gian phản hồi hỗ trợ, và hậu quả khi không đạt. Nhiều hợp đồng chỉ bồi thường bằng cách miễn phí dịch vụ vài ngày — cần đánh giá xem mức đó có tương xứng với thiệt hại thực tế không.

9. Rút dữ liệu khi chấm dứt

Bốn nội dung: định dạng xuất dữ liệu; thời gian bạn được phép truy cập để lấy dữ liệu sau khi chấm dứt; chi phí; và hỗ trợ kỹ thuật trong quá trình chuyển đổi.

Đây là điều khoản quyết định bạn có bị khóa chặt vào một nhà cung cấp hay không.

10. Xóa dữ liệu sau khi chấm dứt

Nhà cung cấp xóa dữ liệu của bạn trong bao lâu? Bao gồm cả bản sao lưu? Có xác nhận bằng văn bản không?

Điểm về bản sao lưu hay bị bỏ qua. Dữ liệu có thể tồn tại trong bản sao lưu của nhà cung cấp nhiều tháng sau khi bạn đã rời đi.

Không chia sẻ trái quy định

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Việc đưa dữ liệu lên dịch vụ của bên thứ ba là một hình thức chia sẻ. Doanh nghiệp cần bảo đảm việc này nằm trong phạm vi đã thông báo với khách hàng của mình — chính sách bảo mật nên nêu rõ có sử dụng dịch vụ của bên thứ ba để lưu trữ, xử lý dữ liệu.

Những gì hợp đồng mẫu thường thiếu

Phần lớn doanh nghiệp vừa và nhỏ chấp nhận điều khoản dịch vụ có sẵn của nhà cung cấp lớn, không đàm phán được. Trong trường hợp đó, việc cần làm là đọc để biết mình đang chấp nhận gì, và bù đắp bằng biện pháp phía mình:

Nếu nhà cung cấp không cam kết vùng lưu trữ, hãy chọn cấu hình vùng thủ công và kiểm tra định kỳ;
Nếu không có cam kết xóa dữ liệu, hãy mã hóa dữ liệu nhạy cảm bằng khóa do mình quản lý — khi hủy khóa thì dữ liệu còn lại cũng vô dụng;
Nếu không có cam kết thông báo sự cố nhanh, hãy tự giám sát và có phương án dự phòng;
Luôn giữ một bản sao lưu độc lập ngoài dịch vụ đám mây đang dùng.

Điểm cuối cùng là nguyên tắc nên áp dụng bất kể nhà cung cấp uy tín đến đâu. Sự cố có thể đến từ chính lỗi cấu hình phía doanh nghiệp, và khi đó nhà cung cấp không giúp được gì.

Rà soát định kỳ

Điều khoản dịch vụ của các nhà cung cấp đám mây thay đổi khá thường xuyên, và thường chỉ thông báo qua thư điện tử mà ít ai đọc. Nên có lịch rà soát mỗi năm, tập trung vào ba điểm: vùng lưu trữ có thay đổi không; phạm vi sử dụng dữ liệu của nhà cung cấp có mở rộng không; và danh sách nhà thầu phụ có bổ sung ai không.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 148/2025/QH15 Điều 23
Luật 148/2025/QH15 Điều 27
Luật 148/2025/QH15 Điều 5
Luật 116/2025/QH15 Điều 26

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.

Theo Luật Chuyển đổi số 2025, thuê dịch vụ đám mây cần thỏa thuận những điều khoản nào về dữ liệu?