Dùng Lark, Zoho, HubSpot: cần lấy thông tin gì từ nhà cung cấp?

Dùng Lark, Zoho, HubSpot: cần lấy thông tin gì từ nhà cung cấp?

Khi dùng Lark, Zoho hoặc HubSpot, doanh nghiệp cần thông tin đủ cụ thể để mô tả dữ liệu, bên nhận và hệ thống xử lý. Bài viết cung cấp mẫu yêu cầu thông tin, cách đọc tài liệu từng nhà cung cấp và cách xử lý câu trả lời chưa đầy đủ.

Doanh nghiệp dùng Lark, Zoho hoặc HubSpot nên lấy thông tin về pháp nhân cung cấp, dịch vụ đang dùng, nơi lưu và xử lý dữ liệu, quyền truy cập, bên xử lý phụ, lưu giữ và xóa dữ liệu. Cần đối chiếu hợp đồng với cấu hình của tài khoản thực tế, vì một cam kết chung trên website chưa xác nhận toàn bộ luồng của doanh nghiệp. Những thông tin này là đầu vào để xác định vai trò, nghĩa vụ chuyển dữ liệu và nội dung hồ sơ theo pháp luật Việt Nam. Chưa đủ thông tin thì phải ghi rõ phần cần xác minh, không tự điền quốc gia hoặc bên nhận vào báo cáo. Căn cứ: Điều 20 Luật số 91/2025/QH15 và Điều 18 Nghị định 356/2025/NĐ-CP.

Vì sao chỉ hỏi “dữ liệu đặt ở đâu” là chưa đủ

Một hệ thống có thể lưu dữ liệu chính tại một vùng, dùng đơn vị khác để gửi email và cho nhóm hỗ trợ ở nơi khác tiếp cận khi có yêu cầu. Một công cụ CRM còn có thể nhận dữ liệu từ biểu mẫu website, đồng bộ danh bạ, ghi âm cuộc gọi hoặc kết nối ứng dụng ngoài. Từng hoạt động cần được kiểm tra theo tính năng thực sự sử dụng.

Doanh nghiệp nên thu thập ba nhóm chứng cứ: tài liệu ràng buộc như đơn đặt hàng và DPA; thông tin quản trị về gói, vùng và tính năng; xác nhận bổ sung cho những điểm hai nhóm đầu chưa giải thích. DPA là thỏa thuận hoặc phụ lục xử lý dữ liệu. Cần lưu bản áp dụng và ngày kiểm tra, không chỉ lưu đường dẫn có thể thay đổi nội dung.

Khoản 3 Điều 18 Nghị định 356 yêu cầu báo cáo chuyển dữ liệu thể hiện những nội dung như bên chuyển, bên nhận, luồng chuyển, hệ thống tiếp nhận, lưu trữ và việc tiếp tục chuyển tới bên khác. Vì vậy, chứng nhận bảo mật hoặc câu trả lời “đạt chuẩn quốc tế” không thay cho thông tin mô tả hoạt động cụ thể. Để xác định nghĩa vụ chung khi dùng phần mềm bán hàng, có thể đọc bài dùng CRM nước ngoài cần tuân thủ quy định nào.

Với Lark cần đối chiếu DPA, danh sách bên xử lý phụ và tài khoản

Data Processing Addendum của Lark, phiên bản ghi cập nhật ngày 22/01/2026, có nội dung về bên xử lý phụ, xử lý tại các khu vực tài phán khác và xóa dữ liệu tại mục 5.6, 5.7, 5.8. Điều khoản còn có phạm vi áp dụng và các phụ lục theo pháp luật địa phương. Cần xác định đúng bản điều khoản áp dụng cho khách hàng của doanh nghiệp, thay vì lấy một DPA bất kỳ có tên Lark.

Danh sách bên xử lý phụ công khai các cột về tên đơn vị, công việc và quốc gia của bên xử lý phụ. Cột quốc gia của pháp nhân không tự chứng minh tất cả dữ liệu của tài khoản được lưu tại quốc gia đó. Doanh nghiệp vẫn cần xác nhận địa điểm hạ tầng, tính năng liên quan và khả năng truy cập với phạm vi dịch vụ thực tế.

Khi làm việc qua đơn vị triển khai, nên hỏi thêm đơn vị này có giữ tài khoản quản trị, lấy bản xuất dữ liệu hoặc dùng công cụ hỗ trợ riêng hay không. Luồng do đối tác triển khai tạo ra cần được ghi nhận bên cạnh luồng của nền tảng.

Với Zoho cần kiểm tra từng ứng dụng đang dùng

Hướng dẫn chính thức về trung tâm dữ liệu của tài khoản Zoho cho biết vị trí tài khoản được xác định khi đăng ký, có thông tin nhận biết theo miền truy cập và cơ chế yêu cầu chuyển trung tâm dữ liệu. Doanh nghiệp nên kiểm tra tài khoản tổ chức đang dùng ở đâu, không suy đoán chỉ từ nơi đặt văn phòng hoặc ngôn ngữ giao diện.

Trang bên xử lý phụ của Zoho cho phép xem theo dịch vụ và trung tâm dữ liệu; với bộ sản phẩm như Zoho One cần kiểm tra các ứng dụng liên quan. Trang cũng phân biệt các nhóm nhà cung cấp và tính năng, gồm dịch vụ AI. Vì vậy, thông tin của Zoho CRM chưa đủ mô tả một tổ chức đồng thời dùng email, biểu mẫu, tổng đài và ứng dụng khác.

Bộ phận IT nên xuất danh sách ứng dụng, tích hợp và tính năng đang bật. Phòng nghiệp vụ xác nhận ứng dụng nào thực sự chứa dữ liệu cá nhân. Hai danh sách này giúp chọn đúng tài liệu cần hỏi, tránh đưa cả danh mục toàn cầu vào hồ sơ mà không biết bên nào có liên quan.

Với HubSpot cần đọc cả vị trí lưu và các trường hợp xử lý ngoài vùng

Theo hướng dẫn hạ tầng và lưu trữ dữ liệu của HubSpot, doanh nghiệp có thể kiểm tra vị trí lưu trữ trong thông tin tài khoản và tài liệu đặt hàng phù hợp. Hướng dẫn đồng thời nêu những trường hợp dữ liệu có thể được xử lý ngoài vùng lưu trữ, liên quan đến tính năng, bên xử lý phụ, hỗ trợ hoặc cách người dùng sử dụng dịch vụ. Do đó, vị trí lưu trữ chính chưa phải bản đồ đầy đủ của mọi hoạt động.

Danh sách bên xử lý phụ HubSpot phân nhóm hạ tầng, tính năng và đơn vị liên kết, có thông tin về địa điểm cùng điều kiện áp dụng. Khi sử dụng, cần lọc theo vùng tài khoản và tính năng liên quan. Việc một nhà cung cấp xuất hiện trong danh sách chung chưa đủ kết luận dữ liệu của doanh nghiệp đã được chuyển cho đơn vị đó.

Các tài liệu Lark, Zoho và HubSpot trong bài được kiểm tra ngày 25/10/2026. Cấu hình, gói, pháp nhân ký và điều khoản thực tế vẫn phải được xác nhận riêng cho từng doanh nghiệp.

Mẫu yêu cầu thông tin gửi nhà cung cấp

Có thể dùng nội dung dưới đây để chuẩn bị yêu cầu. Đây là mẫu làm việc do bài viết đề xuất, không phải biểu mẫu bắt buộc của cơ quan nhà nước. Trước khi gửi, bổ sung tên doanh nghiệp, mã tài khoản tổ chức, dịch vụ đang dùng và người tiếp nhận; không đính kèm dữ liệu cá nhân thật nếu chưa cần thiết.

Tiêu đề đề xuất: Yêu cầu xác nhận thông tin xử lý dữ liệu cho tài khoản doanh nghiệp.

Kính gửi bộ phận phụ trách hợp đồng và bảo vệ dữ liệu,

Doanh nghiệp chúng tôi đang rà soát hoạt động xử lý dữ liệu cá nhân của các dịch vụ đã đăng ký. Đề nghị quý đơn vị cung cấp tài liệu hoặc xác nhận bằng văn bản cho phạm vi tài khoản nêu trong yêu cầu này, đồng thời chỉ rõ phiên bản, ngày áp dụng và điều kiện của từng câu trả lời.

1. Chủ thể và tài liệu áp dụng. Vui lòng xác nhận pháp nhân ký hợp đồng, pháp nhân cung cấp dịch vụ, gói và ứng dụng được bao phủ. Đề nghị gửi hoặc dẫn chiếu bản điều khoản, DPA, đơn đặt hàng và các phụ lục thực sự áp dụng cho tài khoản của chúng tôi.

2. Phạm vi xử lý. Vui lòng mô tả loại dữ liệu, nhóm người có dữ liệu, công việc thực hiện và vai trò của các bên đối với dữ liệu khách hàng đưa lên. Nếu có hoạt động sử dụng dữ liệu cho mục đích riêng của nhà cung cấp, đề nghị nêu riêng mục đích và tài liệu điều chỉnh.

3. Địa điểm và luồng dữ liệu. Vui lòng xác nhận vị trí dữ liệu chính, bản sao dự phòng, môi trường phục hồi và địa điểm xử lý khác có liên quan. Nếu chỉ cam kết ở cấp vùng, đề nghị nêu phạm vi cam kết và cách nhận diện quốc gia hoặc hệ thống thực tế khi cần lập hồ sơ.

4. Bên xử lý phụ và chuyển tiếp. Vui lòng cung cấp danh sách áp dụng cho dịch vụ, vùng và tính năng của tài khoản, gồm tên pháp nhân, công việc, nơi xử lý, loại dữ liệu được nhận và cơ chế thay đổi. Nếu danh sách chung có các bên không nhận dữ liệu của chúng tôi, đề nghị chỉ rõ cách loại trừ.

5. Truy cập và hỗ trợ. Vui lòng mô tả ai có thể truy cập dữ liệu, từ đâu, trong trường hợp nào và theo cơ chế phê duyệt nào. Đề nghị làm rõ khả năng xem, tải, ghi lại phiên hỗ trợ, việc lưu nhật ký và cách doanh nghiệp kiểm tra hoặc thu hồi quyền.

6. Lưu giữ, xuất và xóa. Vui lòng nêu cách lấy lại dữ liệu khi cần chuyển hệ thống; thời hạn và điều kiện lưu giữ từng loại bản sao khi xóa tài khoản hoặc chấm dứt hợp đồng. Đề nghị xác nhận cách xử lý bản sao dự phòng, dữ liệu trong hệ thống phụ và chứng cứ có thể cung cấp sau khi hoàn tất.

7. Hỗ trợ quyền và sự cố. Vui lòng cung cấp đầu mối, kênh liên hệ và nội dung hỗ trợ khi có yêu cầu của chủ thể dữ liệu, sự cố hoặc yêu cầu của cơ quan có thẩm quyền. Đề nghị làm rõ khả năng truy tìm dữ liệu đã chuyển tới bên khác và phối hợp thực hiện yêu cầu hợp lệ.

8. Thay đổi và phần chưa xác nhận. Vui lòng nêu cách thông báo thay đổi về hạ tầng, bên xử lý phụ, tính năng và điều khoản. Nếu một thông tin chưa thể cung cấp, đề nghị nêu lý do, tài liệu thay thế, đầu mối xử lý và thời điểm dự kiến phản hồi. Đề nghị tách nội dung đã xác nhận cho tài khoản của chúng tôi khỏi mô tả chung của sản phẩm.

Trân trọng.

Đánh giá câu trả lời như thế nào để dùng được cho hồ sơ

Nên quản lý phản hồi theo từng câu hỏi, người trả lời và chứng cứ đính kèm. Bảng dưới đây minh họa cách chuyển một câu trả lời chung thành đầu việc cụ thể; không có nghĩa doanh nghiệp mặc nhiên có quyền yêu cầu nhà cung cấp tiết lộ toàn bộ bí mật hạ tầng hoặc hợp đồng với mọi đối tác.

Tình huống giả định: Công ty A dùng CRM và biểu mẫu trực tuyến, nhận được DPA cùng một trang giới thiệu trung tâm dữ liệu. Nhân viên bán hàng trả lời rằng hệ thống “đạt chuẩn quốc tế”, nhưng chưa xác nhận vùng tài khoản và dịch vụ gửi email liên quan. Đây là trường hợp thiếu chứng cứ cho một số luồng, chưa đủ cơ sở kết luận mọi dữ liệu nằm tại một quốc gia.

IT của A xuất cấu hình ứng dụng và đồng bộ; người quản lý hợp đồng gửi yêu cầu có mã tài khoản; bộ phận bảo vệ dữ liệu ghi nhận những mục chưa xác minh. Đầu ra là bảng câu hỏi có trạng thái và chứng cứ, sau đó mới chốt mô tả luồng. Nếu chưa làm rõ một tính năng tùy chọn, A có thể cân nhắc chưa kích hoạt tính năng đó, giới hạn dữ liệu đưa lên hoặc đề nghị điều chỉnh phạm vi dịch vụ. Đây là phương án quản trị cần lựa chọn theo rủi ro và khả năng thực hiện, không phải kết luận mọi phản hồi thiếu đều bắt buộc ngừng toàn bộ nền tảng.

Dùng thông tin đã nhận để xác định nghĩa vụ pháp lý

Trước hết, cần xác định vai trò theo hoạt động thực tế tại Điều 2 Luật. Tên “sub-processor” trong tài liệu nước ngoài giúp nhận diện chuỗi cung ứng nhưng không tự quyết định một đơn vị là bên thứ ba theo cách phân loại của pháp luật Việt Nam. Căn cứ xử lý theo Điều 9 và Điều 19 cũng không được thay thế bằng việc nhà cung cấp đã ký DPA.

Khoản 2 Điều 37 Luật yêu cầu bên xử lý có thỏa thuận, hợp đồng trước khi tiếp nhận dữ liệu và thực hiện đúng phạm vi đã ký. Với luồng chuyển xuyên biên giới, đối chiếu thêm tài liệu ràng buộc giữa bên chuyển và bên nhận theo khoản 2 Điều 18 Nghị định 356. Có thể dùng bài các điều khoản cần có trong hợp đồng xử lý dữ liệu để rà khoảng thiếu sau khi nhận phản hồi.

Tiếp theo, đối chiếu Điều 20 Luật và Điều 17 Nghị định 356 để xác định luồng thuộc phạm vi chuyển và trường hợp không phải đánh giá tác động. Nếu phải lập hồ sơ, mốc gửi là 60 ngày từ ngày đầu tiên chuyển theo khoản 2 Điều 20; báo cáo theo Mẫu số 09 và có tài liệu kèm theo tại Điều 18 Nghị định 356. Không tính lại mốc này từ ngày nhà cung cấp trả lời. Bài hồ sơ chuyển dữ liệu ra nước ngoài trình bày thêm phạm vi nghĩa vụ.

Cuối cùng, lưu phiên bản tài liệu và giao người theo dõi thay đổi. Khi thêm tính năng, đổi bên nhận hoặc điều chỉnh mục đích, cần rà lại luồng và nghĩa vụ cập nhật theo Điều 22 Luật, Điều 20 Nghị định 356. Một bộ câu trả lời được lưu từ khi mua dịch vụ không bảo đảm tiếp tục phản ánh đúng hệ thống nhiều năm sau.

Lưu ý thời điểm áp dụng: Nghị định 392/2026/NĐ-CP có hiệu lực từ 15/11/2026, sửa một số quy định về tiếp nhận, đánh giá và cập nhật hồ sơ; khoản 3 Điều 49 có quy định chuyển tiếp. Tại ngày kiểm tra 25/10/2026 chưa áp dụng sớm các sửa đổi này. Khi thực hiện hồ sơ qua mốc hiệu lực, cần đối chiếu ngày tiếp nhận và trường hợp tương ứng.

Câu hỏi thường gặp

Nhà cung cấp chỉ cung cấp tài liệu sau khi ký NDA thì xử lý thế nào

Có thể đánh giá và ký thỏa thuận bảo mật phù hợp trước khi tiếp nhận tài liệu. Cần làm rõ quyền dùng tài liệu để rà soát tuân thủ, cung cấp cho người tư vấn và nộp cho cơ quan có thẩm quyền khi pháp luật yêu cầu. Không cam kết giữ kín theo cách làm cản trở nghĩa vụ pháp lý của doanh nghiệp.

Dùng bản miễn phí có cần hỏi thông tin không

Có, nếu có xử lý dữ liệu cá nhân. Giá dịch vụ không quyết định nghĩa vụ bảo vệ dữ liệu. Tuy nhiên, khả năng nhận hỗ trợ và tài liệu của gói miễn phí có thể khác; doanh nghiệp cần đánh giá liệu chứng cứ đang có đủ cho hoạt động dự kiến hay phải đổi cách triển khai.

Đại lý xác nhận thay cho nhà cung cấp có đủ không

Cần kiểm tra phạm vi đại diện và nội dung xác nhận. Đại lý có thể nắm cấu hình triển khai nhưng không mặc nhiên có thẩm quyền sửa cam kết của nhà cung cấp nền tảng. Những thông tin quan trọng nên gắn với tài liệu ràng buộc hoặc đầu mối có thẩm quyền xác nhận.

Tắt một tính năng AI có loại được mọi bên xử lý phụ liên quan không

Chưa thể kết luận chỉ từ tên tính năng. Cần xác định dịch vụ nào gọi đến bên đó, cấu hình đang áp dụng và dữ liệu đã được xử lý trước khi tắt. Một nhà cung cấp có thể phục vụ nhiều chức năng; việc ngừng một tính năng cũng chưa chứng minh bản dữ liệu trước đó đã được xóa.

Chuẩn bị bộ tài liệu để Justix rà soát

Doanh nghiệp nên chuẩn bị hợp đồng, DPA, danh mục ứng dụng, cấu hình vùng, phản hồi nhà cung cấp và danh sách thông tin còn thiếu. Dịch vụ hồ sơ chuyển dữ liệu cá nhân xuyên biên giới của Justix hỗ trợ đối chiếu luồng, nghĩa vụ và tài liệu cần bổ sung trong phạm vi thỏa thuận. Có thể gửi bản mô tả đã lược bỏ dữ liệu cá nhân thật qua trang liên hệ Justix để xác định công việc cần thực hiện.