Chính sách lưu trữ, xoá dữ liệu và đáp ứng quyền của chủ thể dữ liệu
PART I - PURPOSE, SCOPE, AND LEGAL BASIS
Article 1. Purpose
1.1. Chính sách này tập hợp tại một văn bản toàn bộ thời hạn lưu trữ dữ liệu mà Công ty Cổ phần Giải pháp Công nghệ và Phần mềm Phổ Tuệ (thương hiệu HiTechCloud, sau đây gọi là “HiTechCloud”) áp dụng, quy trình xoá dữ liệu sau khi chấm dứt Dịch vụ, và thủ tục cùng thời hạn đáp ứng yêu cầu của chủ thể dữ liệu cá nhân.
1.2. Chính sách này thực hiện nguyên tắc “dữ liệu cá nhân được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý” tại khoản 3 Điều 3 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, và công bố quy trình, thủ tục tiếp nhận yêu cầu của chủ thể dữ liệu theo yêu cầu tại Điều 5 Nghị định số 356/2025/NĐ-CP.
Article 2. Scope of application
2.1. Chính sách này áp dụng cho toàn bộ dữ liệu do HiTechCloud lưu trữ, gồm: dữ liệu tài khoản và hợp đồng của Khách hàng; chứng từ kế toán và hoá đơn; nhật ký hệ thống và nhật ký an toàn thông tin; bản sao lưu; dữ liệu do Khách hàng lưu trên hạ tầng Dịch vụ; hồ sơ ứng viên tuyển dụng; và dữ liệu phát sinh từ hoạt động tiếp thị và hỗ trợ khách hàng.
2.2. Chính sách này không thay thế mà tổng hợp và bổ sung cho: Chính sách Tạm ngưng và Chấm dứt Dịch vụ; Chính sách Bảo vệ Dữ liệu Cá nhân; Chính sách Giám sát và Ghi nhật ký Hệ thống; Chính sách Sao lưu và Khôi phục sau Thảm hoạ; và Phụ lục Xử lý Dữ liệu Cá nhân. Trường hợp có khác biệt về thời hạn, thời hạn nêu tại Chính sách này được áp dụng.
Article 3. Legal basis
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025, có hiệu lực từ ngày 01/01/2026 — Điều 3 (nguyên tắc), Điều 4 (quyền của chủ thể dữ liệu), Điều 10 (rút lại sự đồng ý, hạn chế xử lý), Điều 13 (chỉnh sửa), Điều 14 (xoá, huỷ, khử nhận dạng), Điều 15 (cung cấp dữ liệu), Điều 25 (tuyển dụng, lao động);
- Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ — Điều 5 về thời hạn đáp ứng yêu cầu của chủ thể dữ liệu cá nhân;
- Luật An ninh mạng số 116/2025/QH15 — Điều 25 về nghĩa vụ lưu nhật ký hệ thống và phối hợp cung cấp thông tin;
- Luật Kế toán và Luật Quản lý thuế số 108/2025/QH15; Nghị định số 254/2026/NĐ-CP và Thông tư số 91/2026/TT-BTC về hoá đơn điện tử, chứng từ điện tử;
- Luật Phòng, chống rửa tiền số 14/2022/QH15 và Nghị định số 19/2023/NĐ-CP — về thời hạn lưu hồ sơ nhận biết khách hàng;
- Bộ luật Lao động số 45/2019/QH14 và pháp luật về lưu trữ;
- Nghị định số 333/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định chi tiết thi hành Luật An ninh mạng số 116/2025/QH15 — bao gồm nghĩa vụ định danh địa chỉ IP và lưu nhật ký hệ thống tối thiểu 12 (mười hai) tháng — căn cứ cho thời hạn lưu nhật ký nêu tại Điều 5;
- Nghị định số 30/2020/NĐ-CP của Chính phủ về công tác văn thư;
- Thông tư số 02/2019/TT-BNV của Bộ Nội vụ quy định tiêu chuẩn dữ liệu thông tin đầu vào và yêu cầu bảo quản tài liệu lưu trữ điện tử;
- Nghị định số 330/2026/NĐ-CP của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
PHẦN II – NGUYÊN TẮC VÀ BẢNG THỜI HẠN LƯU TRỮ
Điều 4. Nguyên tắc
- Mỗi loại dữ liệu có mục đích xử lý xác định và thời hạn lưu trữ tương ứng với mục đích đó;
- Khi mục đích xử lý đã hoàn thành hoặc hết thời hạn lưu trữ theo quy định, dữ liệu được xoá, huỷ hoặc khử nhận dạng, theo điểm b và điểm c khoản 1 Điều 14 Luật số 91/2025/QH15;
- Việc xoá, huỷ dữ liệu cá nhân được thực hiện bằng các biện pháp an toàn, ngăn chặn hoạt động xâm nhập và khôi phục trái phép; HiTechCloud không cố ý khôi phục trái phép dữ liệu đã bị xoá, huỷ;
- Dữ liệu đã khử nhận dạng không được tái nhận dạng, trừ trường hợp pháp luật có quy định khác;
- Thời hạn lưu trữ được kéo dài khi và chỉ khi pháp luật, quyết định của cơ quan nhà nước có thẩm quyền, hoặc yêu cầu giải quyết tranh chấp đang diễn ra bắt buộc phải giữ lại; phần dữ liệu giữ lại được giới hạn ở mức tối thiểu.
Điều 5. Bảng thời hạn lưu trữ
5.1. HiTechCloud áp dụng thời hạn lưu trữ như sau, tính từ mốc thời gian nêu tại cột tương ứng:
| Data type | Thời hạn lưu trữ | Tính từ | Xử lý khi hết hạn |
|---|---|---|---|
| Dữ liệu tài khoản, hồ sơ Khách hàng, hợp đồng và phụ lục | 24 months | Ngày chấm dứt quan hệ dịch vụ | Xoá hoặc khử nhận dạng |
| Chứng từ kế toán, hoá đơn điện tử và tài liệu liên quan tới nghĩa vụ thuế | Theo pháp luật kế toán và quản lý thuế, tối thiểu 10 năm | Ngày kết thúc kỳ kế toán năm | Huỷ theo quy định về lưu trữ |
| Hồ sơ nhận biết khách hàng (KYC/KYB) và hồ sơ sàng lọc | Theo pháp luật về phòng, chống rửa tiền | Ngày chấm dứt quan hệ dịch vụ hoặc ngày phát sinh giao dịch | Huỷ theo quy định |
| Dữ liệu Khách hàng lưu trên hạ tầng Dịch vụ | 07 ngày để xuất dữ liệu, sau đó xoá vĩnh viễn | Ngày Dịch vụ chấm dứt | Xoá vĩnh viễn, lập biên bản hoặc ghi nhật ký |
| Bản sao lưu chứa dữ liệu đã xoá | Tối đa 30 ngày | Ngày xoá dữ liệu chính | Ghi đè theo chu kỳ luân chuyển bản sao lưu |
| Nhật ký vận hành hệ thống | Tối thiểu 90 ngày | Ngày ghi nhận | Xoá hoặc lưu trữ lạnh theo Chính sách Giám sát và Ghi nhật ký |
| Nhật ký an toàn thông tin, nhật ký truy cập quản trị | Tối thiểu 12 tháng | Ngày ghi nhận | Xoá hoặc lưu trữ lạnh |
| Hồ sơ ứng viên không trúng tuyển, không đồng ý lưu Kho ứng viên tiềm năng | Tối đa 06 tháng | Ngày kết thúc đợt tuyển dụng | Xoá hoặc khử nhận dạng |
| Hồ sơ ứng viên trong Kho ứng viên tiềm năng (đã đồng ý riêng) | Tối đa 24 tháng | Lần tương tác gần nhất | Khử nhận dạng hoặc xoá |
| Bằng chứng về sự đồng ý xử lý dữ liệu cá nhân | Trong suốt thời gian xử lý và 24 tháng sau khi chấm dứt xử lý | Ngày chấm dứt hoạt động xử lý tương ứng | Xoá |
| Nội dung trao đổi hỗ trợ khách hàng, phiếu yêu cầu hỗ trợ | 24 months | Ngày đóng phiếu yêu cầu | Khử nhận dạng |
| Dữ liệu tiếp thị và danh sách nhận thông tin | Cho tới khi rút lại sự đồng ý, hoặc 24 tháng không tương tác | Lần tương tác gần nhất | Xoá khỏi danh sách |
| Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và đánh giá tác động chuyển dữ liệu xuyên biên giới | Trong suốt thời gian hoạt động, cập nhật định kỳ 06 tháng | Ngày lập hồ sơ | Lưu trữ và cập nhật theo Điều 22 Luật số 91/2025/QH15 |
5.2. Bảng tại khoản 5.1 nêu thời hạn tối đa mà HiTechCloud lưu trữ; HiTechCloud thực hiện xoá sớm hơn khi mục đích xử lý đã hoàn thành hoặc khi chủ thể dữ liệu yêu cầu hợp lệ.
5.3. Đối với dữ liệu cá nhân của người lao động, việc lưu trữ và xoá được thực hiện theo khoản 2 Điều 25 Luật số 91/2025/QH15, theo đó dữ liệu được lưu trong thời hạn quy định của pháp luật hoặc theo thoả thuận, và phải xoá, huỷ khi chấm dứt hợp đồng, trừ trường hợp có thoả thuận khác hoặc pháp luật có quy định khác.
PHẦN III – XOÁ DỮ LIỆU KHI CHẤM DỨT DỊCH VỤ
Điều 6. Quy trình xuất và xoá dữ liệu
6.1. HiTechCloud thông báo cho Khách hàng về thời điểm Dịch vụ chấm dứt và mốc thời hạn xuất dữ liệu qua thư điện tử đã đăng ký và trên cổng khách hàng.
6.2. Trong thời hạn 07 (bảy) ngày kể từ ngày Dịch vụ chấm dứt, Khách hàng được quyền xuất toàn bộ dữ liệu theo định dạng tiêu chuẩn mà hệ thống hỗ trợ. Khách hàng có thể đề nghị HiTechCloud hỗ trợ kỹ thuật trích xuất; chi phí hỗ trợ (nếu có) tính theo biểu phí công bố và phải thanh toán trước khi thực hiện. Prices exclude VAT.
6.3. Hết thời hạn nêu tại khoản 6.2, toàn bộ dữ liệu, bản sao lưu và tài nguyên liên quan được xoá vĩnh viễn khỏi hệ thống. HiTechCloud lập biên bản hoặc ghi nhật ký hệ thống về việc xoá và cung cấp xác nhận cho Khách hàng khi được yêu cầu.
6.4. Bản sao lưu định kỳ chứa dữ liệu đã xoá được ghi đè theo chu kỳ luân chuyển tự nhiên, tối đa không quá 30 (ba mươi) ngày kể từ ngày xoá dữ liệu chính. Trong khoảng thời gian này, bản sao lưu được bảo vệ ở mức bảo mật như dữ liệu đang hoạt động và không được sử dụng cho bất kỳ mục đích nào khác ngoài khôi phục sự cố.
6.5. Sau khi xoá dữ liệu, HiTechCloud không còn nghĩa vụ lưu giữ hoặc khôi phục, trừ trường hợp pháp luật hoặc quyết định của cơ quan nhà nước có thẩm quyền yêu cầu lưu giữ.
Điều 7. Xoá dữ liệu trên thiết bị và vật mang tin
7.1. Ổ đĩa, thiết bị lưu trữ và vật mang tin chứa dữ liệu khi được thay thế, sửa chữa, chuyển giao hoặc thanh lý phải được xoá dữ liệu an toàn bằng phương pháp phù hợp với loại thiết bị, hoặc tiêu huỷ vật lý, có biên bản ghi nhận.
7.2. Đối với thiết bị đặt tại địa điểm của Khách hàng theo dịch vụ cho thuê thiết bị, quy trình xoá dữ liệu khi thu hồi thiết bị được thực hiện có sự chứng kiến hoặc xác nhận của Khách hàng.
PHẦN IV – ĐÁP ỨNG YÊU CẦU CỦA CHỦ THỂ DỮ LIỆU
Điều 8. Thủ tục gửi yêu cầu
8.1. Chủ thể dữ liệu cá nhân gửi yêu cầu thực hiện quyền của mình theo khoản 1 Điều 4 Luật số 91/2025/QH15 tới HiTechCloud qua: cổng khách hàng; thư điện tử cskh@photuesoftware.com; hoặc hotline 0865.920.041.
8.2. Yêu cầu phải nêu rõ: họ tên và thông tin liên hệ của người yêu cầu; loại quyền được đề nghị thực hiện; phạm vi dữ liệu liên quan; và thông tin đủ để HiTechCloud xác minh danh tính người yêu cầu. HiTechCloud công bố biểu mẫu yêu cầu tại https://hitechcloud.vn/tai-lieu-ho-tro/.
8.3. Thời hạn xử lý chỉ bắt đầu tính khi yêu cầu được gửi đúng thủ tục và đầy đủ thông tin nêu tại khoản 8.2.
8.4. Đối với dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi, yêu cầu do người đại diện theo pháp luật thực hiện, theo Điều 24 Luật số 91/2025/QH15.
Điều 9. Thời hạn phản hồi và thực hiện
9.1. HiTechCloud phản hồi việc tiếp nhận yêu cầu trong thời hạn 02 (hai) ngày làm việc kể từ ngày nhận được yêu cầu hợp lệ.
9.2. HiTechCloud thực hiện yêu cầu theo thời hạn quy định tại Điều 5 Nghị định số 356/2025/NĐ-CP:
| Loại yêu cầu | Response | Thời hạn thực hiện | Khi phải yêu cầu bên xử lý dữ liệu hoặc bên thứ ba thực hiện | Gia hạn tối đa 01 lần |
|---|---|---|---|---|
| Xem, chỉnh sửa, yêu cầu cung cấp dữ liệu cá nhân | 02 ngày làm việc | 10 days | 15 days | Thêm 10 ngày |
| Rút lại sự đồng ý, hạn chế xử lý, phản đối xử lý | 02 ngày làm việc | 15 days | 20 ngày | Thêm 15 ngày |
| Yêu cầu áp dụng biện pháp bảo vệ dữ liệu cá nhân | 02 ngày làm việc | 15 days | — | Thêm 15 ngày |
| Yêu cầu xoá dữ liệu cá nhân | 02 ngày làm việc | 20 ngày | 30 days | Thêm 20 ngày |
9.3. Khi cần gia hạn, HiTechCloud thông báo lý do gia hạn cho chủ thể dữ liệu trước khi hết thời hạn ban đầu và chịu trách nhiệm chứng minh việc gia hạn là cần thiết.
9.4. Việc thực hiện quyền của chủ thể dữ liệu không phát sinh chi phí, trừ trường hợp yêu cầu lặp lại quá mức hoặc rõ ràng không có căn cứ.
Điều 10. Trường hợp không thực hiện yêu cầu
10.1. HiTechCloud không thực hiện yêu cầu xoá, huỷ dữ liệu cá nhân trong các trường hợp quy định tại Điều 19 Luật số 91/2025/QH15, hoặc khi việc xoá, huỷ vi phạm nguyên tắc tại khoản 3 Điều 4 của Luật, theo khoản 2 Điều 14 của Luật.
10.2. Trường hợp không thể xoá, huỷ dữ liệu cá nhân vì lý do chính đáng, HiTechCloud thông báo cho chủ thể dữ liệu biết kèm lý do, theo khoản 5 Điều 14 Luật số 91/2025/QH15.
10.3. Việc rút lại sự đồng ý không có hiệu lực hồi tố và không áp dụng đối với hoạt động xử lý dữ liệu cá nhân đã thực hiện trước thời điểm yêu cầu.
10.4. Đối với dữ liệu do Khách hàng doanh nghiệp lưu trên hạ tầng Dịch vụ, HiTechCloud là Bên Xử lý dữ liệu cá nhân và chuyển yêu cầu tới Khách hàng để Khách hàng quyết định, theo Phụ lục Xử lý Dữ liệu Cá nhân.
PHẦN V – KIỂM SOÁT, KHIẾU NẠI VÀ HIỆU LỰC
Điều 11. Kiểm soát việc thực thi
11.1. HiTechCloud triển khai cơ chế xoá và khử nhận dạng tự động theo thời hạn nêu tại Điều 5, và rà soát kết quả thực thi tối thiểu 06 tháng/lần.
11.2. Mọi thao tác xoá dữ liệu ở quy mô lớn đều được ghi nhật ký kèm danh tính người thực hiện, thời điểm và phạm vi.
11.3. HiTechCloud ràng buộc bên xử lý phụ thực hiện thời hạn lưu trữ và quy trình xoá không thấp hơn Chính sách này, theo Chính sách An toàn Thông tin dành cho Nhà cung cấp và Đối tác.
Article 12. Complaints
12.1. Chủ thể dữ liệu có quyền khiếu nại tới HiTechCloud, tố cáo hoặc khởi kiện tới cơ quan nhà nước có thẩm quyền khi cho rằng quyền của mình bị xâm phạm. HiTechCloud tiếp nhận và trả lời khiếu nại trong thời hạn 15 (mười lăm) ngày làm việc theo Quy trình Khiếu nại và Giải quyết Tranh chấp.
Article 13. Effect
13.1. Chính sách này có hiệu lực kể từ ngày công bố tại https://hitechcloud.vn/tai-lieu-ho-tro/ và được rà soát tối thiểu 12 tháng/lần hoặc khi có thay đổi quan trọng về pháp luật, công nghệ, mô hình vận hành. Mọi sửa đổi được công bố trước 30 (ba mươi) ngày. Bản tiếng Việt có giá trị pháp lý cao nhất.
Legal basis
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025, có hiệu lực từ ngày 01/01/2026;
- Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân — Điều 5;
- Luật An ninh mạng số 116/2025/QH15 ngày 10/12/2025, có hiệu lực từ ngày 01/7/2026;
- Luật Dữ liệu số 60/2024/QH15;
- Luật Quản lý thuế số 108/2025/QH15; Nghị định số 254/2026/NĐ-CP ngày 30/6/2026 và Thông tư số 91/2026/TT-BTC về hoá đơn điện tử, chứng từ điện tử;
- Luật Phòng, chống rửa tiền số 14/2022/QH15 và Nghị định số 19/2023/NĐ-CP;
- Bộ luật Lao động số 45/2019/QH14;
- Nghị định số 333/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định chi tiết thi hành Luật An ninh mạng số 116/2025/QH15 — bao gồm nghĩa vụ định danh địa chỉ IP và lưu nhật ký hệ thống tối thiểu 12 (mười hai) tháng;
- Nghị định số 30/2020/NĐ-CP về công tác văn thư và Thông tư số 02/2019/TT-BNV quy định tiêu chuẩn dữ liệu thông tin đầu vào và yêu cầu bảo quản tài liệu lưu trữ điện tử;
- Nghị định số 330/2026/NĐ-CP của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
PHẦN VI – LUẬT ÁP DỤNG
Điều 14. Luật áp dụng
14.1. Văn bản này được điều chỉnh và giải thích theo pháp luật Việt Nam. Trường hợp bất kỳ điều khoản nào bị cơ quan nhà nước có thẩm quyền tuyên là vô hiệu hoặc không thể thi hành, các điều khoản còn lại vẫn giữ nguyên hiệu lực.
Văn bản liên quan: Chính sách Tạm ngưng và Chấm dứt Dịch vụ; Chính sách Bảo vệ Dữ liệu Cá nhân; Chính sách Giám sát và Ghi nhật ký Hệ thống; Chính sách Sao lưu và Khôi phục sau Thảm hoạ; Phụ lục Xử lý Dữ liệu Cá nhân; Thông báo Quyền riêng tư dành cho Ứng viên Tuyển dụng; Quy trình Khiếu nại và Giải quyết Tranh chấp — công bố tại https://hitechcloud.vn/tai-lieu-ho-tro/.
