Thoả thuận Bảo mật dữ liệu NDA
CĂN CỨ PHÁP LÝ
- Bộ luật Dân sự 2015 (Điều 387 về thông tin trong giao kết hợp đồng, Điều 351–360 về trách nhiệm do vi phạm nghĩa vụ, Điều 419 về thiệt hại được bồi thường);
- Luật Thương mại 2005;
- Luật Sở hữu trí tuệ (sửa đổi, bổ sung 2022) — về bảo hộ bí mật kinh doanh;
- Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15) và Nghị định 356/2025/NĐ-CP;
- Luật An ninh mạng 2025 (Luật số 116/2025/QH15);
- Luật Giao dịch điện tử 2023 — về giá trị pháp lý của thông điệp dữ liệu và chữ ký điện tử;
- Quyết định số 4567/QĐ-VBPL ngày 01/06/2026 về việc ban hành Khung Tuân thủ Pháp lý của Công ty.
Thoả thuận này là phụ lục và bộ phận không tách rời của Thoả thuận Sử dụng Dịch vụ; được áp dụng cùng Chính sách Bảo vệ Dữ liệu Cá nhân (PDPD).
CÁC BÊN
Bên A: Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (HiTechCloud)
Trụ sở: 128 Đường Bình Mỹ, xã Bình Mỹ, TP. Hồ Chí Minh | MST: 0318222203
Bên B: Khách hàng / Đối tác / Nhà thầu / Người tham gia
Bên A và Bên B (mỗi bên là “Bên”, gọi chung là “các Bên”) thống nhất ký kết Thoả thuận Bảo mật Thông tin với các điều khoản sau.
PHẦN I – ĐỊNH NGHĨA VÀ PHẠM VI
Điều 1. Định nghĩa
1.1. “Thông tin bảo mật” là mọi thông tin, dữ liệu, tài liệu (dưới dạng văn bản, điện tử, lời nói, hình ảnh hoặc hình thức khác) mà một Bên (“Bên Tiết lộ”) cung cấp cho Bên còn lại (“Bên Nhận”) trong quá trình trao đổi, hợp tác, cung cấp hoặc sử dụng dịch vụ, được đánh dấu là bảo mật hoặc theo bản chất một cách hợp lý phải được hiểu là bảo mật.
1.2. “Bên Tiết lộ” là Bên cung cấp Thông tin bảo mật; “Bên Nhận” là Bên tiếp nhận Thông tin bảo mật. Do đây là thoả thuận song phương, mỗi Bên có thể đồng thời là Bên Tiết lộ và Bên Nhận.
1.3. “Người liên quan” là nhân viên, người quản lý, cố vấn, luật sư, kiểm toán, nhà thầu phụ của một Bên có nhu cầu tiếp cận Thông tin bảo mật để thực hiện mục đích của Thoả thuận này.
1.4. “Bí mật kinh doanh” được hiểu theo Luật Sở hữu trí tuệ; “Dữ liệu cá nhân” được hiểu theo Luật Bảo vệ dữ liệu cá nhân 2025.
Điều 2. Phạm vi Thông tin bảo mật
2.1. Thông tin bảo mật bao gồm nhưng không giới hạn: (a) mã nguồn, kiến trúc hệ thống, thuật toán, tài liệu kỹ thuật, thông tin về sản phẩm chưa phát hành (kể cả sản phẩm Beta); (b) bí mật kinh doanh, phương pháp kinh doanh, chiến lược, giá và điều khoản thương mại; (c) thông tin khách hàng, danh sách khách hàng, dữ liệu cá nhân; (d) thông tin về hạ tầng, cấu hình bảo mật, lỗ hổng và biện pháp phòng thủ; (e) thông tin tài chính, kế hoạch, dự án; (f) mọi thông tin khác được đánh dấu hoặc thông báo là bảo mật.
Điều 3. Thông tin không thuộc phạm vi bảo mật
3.1. Thông tin bảo mật không bao gồm thông tin mà Bên Nhận chứng minh được rằng: (a) đã công khai hợp pháp trước khi được tiết lộ, hoặc trở nên công khai không do lỗi của Bên Nhận; (b) Bên Nhận đã sở hữu hợp pháp trước khi tiếp nhận, không kèm nghĩa vụ bảo mật; (c) do bên thứ ba cung cấp hợp pháp mà không vi phạm nghĩa vụ bảo mật; (d) do Bên Nhận tự phát triển độc lập mà không sử dụng Thông tin bảo mật.
PHẦN II – NGHĨA VỤ BẢO MẬT
Điều 4. Nghĩa vụ của Bên Nhận
4.1. Bên Nhận cam kết: (a) giữ bí mật Thông tin bảo mật với mức độ cẩn trọng tối thiểu tương đương mức bảo vệ thông tin bảo mật của chính mình, nhưng không thấp hơn mức cẩn trọng hợp lý; (b) chỉ sử dụng Thông tin bảo mật cho mục đích của Thoả thuận/hợp đồng giữa các Bên (“Mục đích”); (c) không tiết lộ cho bất kỳ bên thứ ba nào khi chưa có sự đồng ý bằng văn bản của Bên Tiết lộ; (d) chỉ chia sẻ Thông tin bảo mật cho Người liên quan trên cơ sở “cần biết” (need-to-know) và bảo đảm những người này chịu nghĩa vụ bảo mật tương đương.
4.2. Bên Nhận không được sao chép, tái tạo, dịch ngược, phân tích ngược Thông tin bảo mật ngoài phạm vi cần thiết cho Mục đích; chịu trách nhiệm về mọi hành vi vi phạm của Người liên quan của mình như thể là hành vi của chính mình.
Điều 5. Bảo vệ dữ liệu cá nhân
5.1. Trường hợp Thông tin bảo mật có chứa dữ liệu cá nhân, các Bên xử lý dữ liệu cá nhân đó tuân thủ Luật Bảo vệ dữ liệu cá nhân 2025, Nghị định 356/2025/NĐ-CP và Chính sách Bảo vệ Dữ liệu Cá nhân (PDPD) của HiTechCloud, bao gồm nghĩa vụ về sự đồng ý, biện pháp bảo vệ, đánh giá tác động và thông báo vi phạm dữ liệu.
5.2. Các Bên áp dụng biện pháp kỹ thuật và tổ chức phù hợp (mã hóa khi lưu trữ và truyền tải, kiểm soát truy cập, ghi nhật ký) để bảo vệ Thông tin bảo mật, phù hợp Luật An ninh mạng 2025.
Điều 6. Sự cố lộ, lọt thông tin
6.1. Khi phát hiện Thông tin bảo mật bị tiết lộ, truy cập trái phép hoặc mất mát, Bên Nhận phải thông báo cho Bên Tiết lộ trong thời gian sớm nhất, phối hợp điều tra, khắc phục và giảm thiểu thiệt hại. Nếu sự cố liên quan đến dữ liệu cá nhân, các Bên phối hợp thực hiện nghĩa vụ thông báo vi phạm theo Luật Bảo vệ dữ liệu cá nhân 2025 và PDPD.
Điều 7. Tiết lộ theo yêu cầu của pháp luật
7.1. Bên Nhận được phép tiết lộ Thông tin bảo mật khi có yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền hoặc theo quy định pháp luật, với điều kiện (trong phạm vi pháp luật cho phép): thông báo trước cho Bên Tiết lộ để Bên Tiết lộ có thể áp dụng biện pháp bảo vệ, và chỉ tiết lộ trong phạm vi tối thiểu được yêu cầu.
PHẦN III – SỞ HỮU, THỜI HẠN VÀ CHẤM DỨT
Điều 8. Quyền sở hữu
8.1. Thoả thuận này không chuyển giao bất kỳ quyền sở hữu, quyền sở hữu trí tuệ hay giấy phép nào đối với Thông tin bảo mật, ngoài quyền sử dụng có giới hạn cho Mục đích. Mọi Thông tin bảo mật vẫn thuộc sở hữu của Bên Tiết lộ.
Điều 9. Hoàn trả và tiêu hủy
9.1. Khi kết thúc Mục đích, chấm dứt hợp đồng hoặc theo yêu cầu của Bên Tiết lộ, Bên Nhận phải hoàn trả hoặc tiêu hủy toàn bộ Thông tin bảo mật (bao gồm bản sao) và xác nhận bằng văn bản, trừ phần bắt buộc phải lưu giữ theo quy định pháp luật hoặc theo chính sách lưu trữ nội bộ hợp lý — phần lưu giữ này vẫn tiếp tục chịu nghĩa vụ bảo mật.
Điều 10. Thời hạn bảo mật
10.1. Nghĩa vụ bảo mật có hiệu lực kể từ ngày ký và tiếp tục trong suốt thời gian quan hệ hợp tác và 03 (ba) năm sau khi chấm dứt, trừ khi các Bên thỏa thuận khác bằng văn bản.
10.2. Riêng đối với bí mật kinh doanh và dữ liệu cá nhân, nghĩa vụ bảo mật kéo dài cho đến khi thông tin không còn là bí mật kinh doanh theo Luật Sở hữu trí tuệ, hoặc theo thời hạn mà pháp luật về bảo vệ dữ liệu cá nhân quy định — tùy trường hợp áp dụng, không giới hạn ở mốc 03 năm nêu trên.
Điều 11. Vi phạm, chế tài và bồi thường
11.1. Bên vi phạm nghĩa vụ bảo mật phải chịu trách nhiệm bồi thường toàn bộ thiệt hại thực tế phát sinh cho Bên bị vi phạm theo Bộ luật Dân sự 2015, bao gồm chi phí hợp lý để khắc phục và chi phí thuê luật sư.
11.2. Do thiệt hại từ việc vi phạm bảo mật thường khó khắc phục bằng bồi thường tiền, Bên bị vi phạm có quyền yêu cầu áp dụng biện pháp khẩn cấp tạm thời và các biện pháp khác theo quy định pháp luật để ngăn chặn, chấm dứt hành vi vi phạm.
11.3. Hành vi xâm phạm bí mật kinh doanh, dữ liệu cá nhân hoặc an ninh mạng còn có thể bị xử phạt vi phạm hành chính hoặc truy cứu trách nhiệm hình sự theo quy định pháp luật hiện hành.
Điều 12. Hiệu lực và chấm dứt
12.1. Thoả thuận này có hiệu lực kể từ ngày ký (hoặc kể từ khi Bên B chấp thuận bằng phương thức điện tử theo Luật Giao dịch điện tử 2023) và duy trì hiệu lực cho đến khi hoàn thành các nghĩa vụ bảo mật theo Điều 10.
12.2. Việc chấm dứt quan hệ hợp tác hoặc hợp đồng dịch vụ không làm chấm dứt các nghĩa vụ bảo mật còn hiệu lực theo Thoả thuận này.
Điều 13. Điều khoản chung
13.1. Thoả thuận này được điều chỉnh bởi pháp luật Việt Nam. Tranh chấp phát sinh được ưu tiên giải quyết bằng thương lượng, hòa giải; nếu không đạt kết quả, được giải quyết tại Tòa án nhân dân có thẩm quyền tại TP. Hồ Chí Minh, thống nhất với Phần Giải quyết tranh chấp của Thoả thuận Sử dụng Dịch vụ. Đối với Bên B là tổ chức nước ngoài, các Bên có thể thỏa thuận trọng tài tại VIAC.
13.2. Nếu một điều khoản của Thoả thuận bị coi là vô hiệu, các điều khoản còn lại vẫn giữ nguyên hiệu lực. Mọi sửa đổi phải lập thành văn bản có xác nhận của cả hai Bên. Thoả thuận được lập bằng tiếng Việt; bản tiếng Việt có giá trị pháp lý cao nhất.
