Hợp đồng bảo trì website nên biến những lời hứa như “hỗ trợ kỹ thuật”, “backup định kỳ” hoặc “xử lý nhanh” thành nghĩa vụ có thể kiểm tra. Một hợp đồng rõ không bảo đảm website sẽ không bao giờ lỗi, nhưng giúp hai bên biết ai chịu trách nhiệm, phản hồi theo cách nào, dữ liệu thuộc về ai và phải bàn giao gì khi kết thúc.
Nếu bạn chưa khóa phạm vi dịch vụ bảo trì trước khi đọc điều khoản, hãy xem dịch vụ bảo trì website trước. Bài hiện tại giữ vai trò contract owner: tập trung vào scope, SLA, backup, quyền dữ liệu, chi phí, chấm dứt và bàn giao.
Lưu ý: Đây là checklist thương mại–kỹ thuật, không thay thế tư vấn pháp lý. Điều khoản cụ thể phải phù hợp pháp luật áp dụng, giá trị hợp đồng, dữ liệu được xử lý và cơ cấu của các bên. Tại Việt Nam, nếu dịch vụ có xử lý dữ liệu cá nhân, cần đối chiếu thêm Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và văn bản hướng dẫn đang có hiệu lực tại thời điểm ký. Với giao dịch có rủi ro cao, dữ liệu nhạy cảm hoặc trách nhiệm bồi thường lớn, nên có người có chuyên môn pháp lý rà soát.
Trước khi ký: kiểm tra đối tác và quyền ký
- Thông tin pháp nhân, mã số thuế, địa chỉ và người đại diện.
- Người ký có thẩm quyền hoặc giấy ủy quyền phù hợp.
- Đầu mối kỹ thuật, quản lý dịch vụ và người phê duyệt thay đổi.
- Năng lực với nền tảng, quy mô và loại website tương tự.
- Quy trình tiếp nhận ticket, phân loại sự cố, backup và bàn giao.
- Nhà thầu phụ hoặc dịch vụ bên thứ ba nào sẽ được sử dụng.
Không cần mặc định yêu cầu một số lượng dự án hoặc số năm kinh nghiệm cố định. Hãy yêu cầu bằng chứng phù hợp với rủi ro: mô tả quy trình, mẫu báo cáo đã làm sạch dữ liệu, năng lực người trực tiếp thực hiện và cách họ xử lý một tình huống cụ thể.
Điều khoản 1: Đối tượng, phạm vi và thứ tự ưu tiên tài liệu
Hợp đồng cần xác định chính xác website, domain, môi trường và dịch vụ nằm trong phạm vi. Nếu có hợp đồng chính, phụ lục kỹ thuật, báo giá và SLA, cần quy định tài liệu nào được ưu tiên khi nội dung mâu thuẫn.
| Cần ghi rõ | Ví dụ |
|---|---|
| Tài sản | Domain, production, staging, hosting, CDN, database, email hoặc API liên quan |
| Phạm vi kỹ thuật | Backup, cập nhật, monitoring, kiểm thử, xử lý lỗi và báo cáo |
| Phạm vi vận hành | Nội dung, banner, sản phẩm, landing page hoặc SEO nếu có |
| Không bao gồm | Phát triển tính năng, làm sạch mã độc, license, ngoài giờ hoặc hạ tầng bên thứ ba |
| Đầu ra | Changelog, checklist test, báo cáo, file, tài khoản và tài liệu |
Tránh các cụm từ không định lượng như “chăm sóc toàn diện” hoặc “hỗ trợ mọi lỗi”. Bài phân biệt bảo trì và chăm sóc website giúp xác định đúng nhóm công việc trước khi đưa vào hợp đồng.
Điều khoản 2: Quy trình yêu cầu và quản lý thay đổi
Cần có kênh chính thức để yêu cầu, duyệt và nghiệm thu. Tin nhắn không đủ thông tin không nên tự động trở thành lệnh thay đổi production.
- Ai được quyền tạo và phê duyệt yêu cầu?
- Kênh nào được xem là thông báo chính thức?
- Yêu cầu cần cung cấp URL, mục tiêu, deadline và tiêu chí nào?
- Thay đổi nào cần backup, staging hoặc cửa sổ bảo trì?
- Công việc ngoài phạm vi được ước tính và duyệt ra sao?
- Khi khách hàng chậm cung cấp dữ liệu hoặc phê duyệt, timeline thay đổi thế nào?
Quy định rõ thay đổi phát sinh chỉ được tính phí hoặc triển khai sau khi có xác nhận theo hình thức đã thống nhất.
Điều khoản 3: SLA, mức độ sự cố và điều kiện phụ thuộc
SLA cần phân biệt thời gian phản hồi, thời gian bắt đầu xử lý, biện pháp tạm thời và mục tiêu khôi phục. Không nên ghi một mốc “xử lý xong” cho mọi lỗi khi kết quả còn phụ thuộc hosting, nhà cung cấp thanh toán, quyền truy cập hoặc chất lượng backup.
Để tách rõ acknowledgement, response, workaround, restoration và resolution theo severity, xem SLA vận hành website.
| Trường | Nội dung cần định nghĩa |
|---|---|
| Mức độ | Tiêu chí dựa trên khả dụng, dữ liệu, giao dịch và số người dùng ảnh hưởng |
| Giờ dịch vụ | Giờ làm việc, ngày nghỉ, ngoài giờ và kênh khẩn cấp |
| Phản hồi | Thời điểm xác nhận đã tiếp nhận và phân loại |
| Ổn định tạm thời | Rollback, tắt chức năng hoặc chuyển trang bảo trì khi phù hợp |
| Khôi phục | Mục tiêu và các phụ thuộc; không nhầm với thời gian phản hồi |
| Escalation | Khi nào chuyển cấp, ai liên hệ nhà cung cấp bên thứ ba |
| Loại trừ | Bảo trì đã thông báo, sự kiện bất khả kháng hoặc lỗi ngoài quyền kiểm soát — cần định nghĩa cụ thể |
Nếu có cam kết uptime, hợp đồng phải nêu nguồn đo, khoảng thời gian đo, URL/endpoint, thời gian loại trừ và biện pháp khi không đạt. Đơn vị bảo trì không nên chịu trách nhiệm uptime của hạ tầng mà họ không quản lý nếu điều đó chưa được thỏa thuận.
Điều khoản 4: Backup, phục hồi và ứng cứu sự cố
| Nội dung | Cần ghi |
|---|---|
| Phạm vi backup | File, database, media, cấu hình và dữ liệu ngoài hệ thống |
| RPO/RTO | Mức dữ liệu có thể mất và thời gian phục hồi mục tiêu |
| Lịch/retention | Tần suất, số điểm thời gian và thời gian giữ |
| Vị trí/quyền | Kho lưu, mã hóa, MFA, người được tải, xóa hoặc restore |
| Kiểm tra | Tần suất restore test và tiêu chí thành công |
| Sự cố | Tiếp nhận, cô lập, bảo toàn log, khôi phục và báo cáo |
| Chi phí | Restore thông thường, khôi phục phức tạp và xử lý website bị hack |
Không nên dùng lịch backup mặc định cho mọi website. Cần xác định theo RPO, RTO và kiểm tra khôi phục.
Điều khoản 5: Bảo mật, dữ liệu và quyền truy cập
- Loại dữ liệu nhà cung cấp được truy cập và mục đích xử lý.
- Vai trò của mỗi bên đối với dữ liệu cá nhân và phạm vi xử lý được ủy quyền/thỏa thuận.
- Người hoặc nhà thầu phụ được phép truy cập; điều kiện sử dụng bên xử lý/nhà thầu phụ khi có.
- Cơ chế cấp, lưu, chia sẻ và thu hồi credential.
- Tài khoản riêng, MFA, quyền tối thiểu và nhật ký thao tác.
- Nghĩa vụ thông báo, phối hợp và bảo toàn bằng chứng khi nghi ngờ hoặc xác nhận sự cố dữ liệu.
- Thời gian lưu, cơ chế trả lại/xuất dữ liệu và cách xóa dữ liệu khi kết thúc.
- Nghĩa vụ bảo mật còn hiệu lực sau khi hợp đồng chấm dứt nếu phù hợp.
Không đưa mật khẩu trực tiếp vào hợp đồng. Nên mô tả cơ chế quản lý secret và danh mục quyền được cấp. Nếu dịch vụ có xử lý dữ liệu cá nhân tại Việt Nam, hai bên cần đối chiếu nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP đang có hiệu lực từ 01/01/2026, đồng thời rà thêm quy định chuyên ngành nếu loại dữ liệu hoặc lĩnh vực yêu cầu. Checklist này không tự xác định vai trò pháp lý của từng bên; vai trò và nghĩa vụ phải được xác định theo luồng dữ liệu và giao dịch thực tế.
Điều khoản 6: Quyền sở hữu, license và tài khoản
Không nên viết đơn giản rằng “mọi thứ thuộc khách hàng” nếu website có mã nguồn mở, plugin trả phí, stock image hoặc công cụ của bên thứ ba. Cần tách từng loại quyền.
Dùng checklist quyền kiểm soát website để rà domain, hosting, source/database, license, analytics và các tài khoản mà doanh nghiệp cần giữ quyền owner/admin cuối cùng.
| Tài sản | Cần xác định |
|---|---|
| Domain/hosting/CDN | Chủ tài khoản, người thanh toán và quyền admin cuối cùng |
| Nội dung/dữ liệu | Quyền sử dụng, xuất, bàn giao và xóa |
| Custom code | Quyền sở hữu hoặc phạm vi license, repository và tài liệu |
| Theme/plugin/font/ảnh | Chủ license, thời hạn, số site và chi phí gia hạn |
| Analytics/Ads/Search Console | Tài khoản doanh nghiệp giữ quyền sở hữu; nhà cung cấp được cấp vai trò phù hợp |
| Công cụ của nhà cung cấp | Dữ liệu hoặc chức năng nào mất khi chấm dứt dịch vụ |
Điều khoản 7: Giá, thanh toán, phát sinh và trách nhiệm
- Giá, thuế, chu kỳ thanh toán và thời hạn hiệu lực.
- Số giờ/yêu cầu hoặc giới hạn từng hạng mục.
- Đơn giá và quy trình duyệt công việc ngoài phạm vi.
- License và chi phí bên thứ ba do bên nào thanh toán.
- Điều kiện tạm ngừng dịch vụ do chậm thanh toán và cách bảo toàn dữ liệu.
- Trách nhiệm khi khách hàng chậm phê duyệt hoặc không cung cấp quyền.
- Giới hạn trách nhiệm, bồi thường, phạt vi phạm và trường hợp loại trừ cần được tư vấn theo giao dịch cụ thể.
Khi so giá, dùng cùng một phạm vi. Trang bảng giá bảo trì website chỉ là khung tham khảo; hợp đồng phải phản ánh báo giá đã được hai bên chấp thuận.
Điều khoản 8: Thời hạn, chấm dứt, bàn giao và tranh chấp
Điều khoản chấm dứt cần nêu trường hợp, thời hạn thông báo, nghĩa vụ còn tồn tại và cách xử lý dữ liệu. Không áp dụng một mốc bàn giao cố định cho mọi dự án; hãy xác định theo dung lượng, số tài khoản và mức phức tạp.
- Điều kiện gia hạn, không gia hạn, đơn phương chấm dứt hoặc tạm ngừng.
- Phần công việc đã thực hiện và nghĩa vụ thanh toán.
- Danh mục source, database, media, cấu hình, tài khoản, license và tài liệu phải bàn giao.
- Định dạng, kênh, thời hạn và tiêu chí xác nhận bàn giao.
- Thời gian nhà cung cấp giữ bản sao sau bàn giao và cách xóa.
- Hỗ trợ chuyển tiếp, phạm vi và chi phí nếu cần.
- Luật áp dụng, thương lượng, hòa giải, tòa án hoặc trọng tài theo thỏa thuận và tư vấn pháp lý.
Checklist trước khi ký
| Hạng mục | Đã xác nhận |
|---|---|
| Đúng pháp nhân, người ký và tài liệu ưu tiên | □ |
| Scope, đầu ra, tần suất và phần không bao gồm | □ |
| Quy trình yêu cầu, duyệt và phát sinh | □ |
| SLA, mức độ, giờ hỗ trợ và phụ thuộc | □ |
| Backup, RPO/RTO, retention và restore test | □ |
| Bảo mật, quyền truy cập và thông báo sự cố | □ |
| Vai trò xử lý dữ liệu cá nhân, retention/xóa và nhà thầu phụ nếu có | □ |
| Quyền sở hữu, license và tài khoản | □ |
| Giá, thanh toán, trách nhiệm và giới hạn | □ |
| Chấm dứt, bàn giao, xóa dữ liệu và tranh chấp | □ |
Kết luận
Hợp đồng bảo trì website tốt không cần dùng lời lẽ mạnh; nó cần rõ tài sản, phạm vi, SLA, backup, dữ liệu, quyền sở hữu, giá và bàn giao. Hãy chuyển từng lời hứa thành đầu ra, điều kiện và bằng chứng có thể kiểm tra, sau đó rà pháp lý theo rủi ro cụ thể và hệ thống pháp luật đang có hiệu lực tại thời điểm ký.
Nguồn pháp lý tham khảo
- Bộ luật Dân sự số 91/2015/QH13.
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — có hiệu lực từ 01/01/2026.
- Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân — có hiệu lực từ 01/01/2026.
Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.