Điều khoản Sử dụng này ("Điều khoản") là thỏa thuận pháp lý giữa bạn ("Khách hàng", "bạn") và Công ty Cổ phần CyStack Việt Nam ("CyStack", "chúng tôi"), chi phối việc bạn truy cập và sử dụng các trang web, nền tảng, sản phẩm và dịch vụ của CyStack (gọi chung là "Dịch vụ").

Vui lòng đọc kỹ Điều khoản này trước khi sử dụng Dịch vụ. Bằng việc đăng ký tài khoản, truy cập hoặc sử dụng Dịch vụ, bạn đồng ý bị ràng buộc bởi Điều khoản này. Nếu bạn không đồng ý, vui lòng không sử dụng Dịch vụ.

1. Định nghĩa

Trong Điều khoản này, các thuật ngữ sau có nghĩa như sau:

"Dịch vụ" bao gồm toàn bộ sản phẩm SaaS (Locker, CyStack Endpoint, WhiteHub, VulnScan, Data Leak Detection), nền tảng CyStack Platform (cystack.net), và các dịch vụ chuyên môn (pentest, red teaming, đánh giá bảo mật, SOC, DFIR, đào tạo).

"Dữ liệu Khách hàng" là toàn bộ dữ liệu, nội dung và thông tin mà bạn hoặc người dùng được ủy quyền của bạn nhập vào, tải lên, hoặc tạo ra thông qua Dịch vụ.

"Người dùng được ủy quyền" là cá nhân mà bạn cho phép truy cập và sử dụng Dịch vụ dưới tài khoản của bạn.

"Tài liệu hướng dẫn" là các hướng dẫn sử dụng, tài liệu kỹ thuật và chính sách do CyStack cung cấp, có thể được cập nhật theo thời gian.

"Dịch vụ chuyên môn" là các dịch vụ tư vấn, kiểm thử và đánh giá bảo mật được cung cấp theo Phạm vi Công việc (SOW) riêng biệt.

2. Tư cách và Thẩm quyền

2.1. Nếu bạn đăng ký hoặc sử dụng Dịch vụ thay mặt cho một tổ chức, bạn tuyên bố và bảo đảm rằng bạn có đầy đủ thẩm quyền để ràng buộc tổ chức đó với Điều khoản này. Trong trường hợp đó, “bạn” được hiểu là tổ chức.

2.2. Bạn không được sử dụng Dịch vụ nếu việc sử dụng đó bị pháp luật áp dụng đối với bạn cấm.

2.3. Dịch vụ chỉ dành cho người từ 16 tuổi trở lên. Bằng việc sử dụng Dịch vụ, bạn xác nhận đáp ứng điều kiện này.

3. Tài khoản

3.1. Đăng ký: Bạn phải cung cấp thông tin chính xác, đầy đủ và luôn cập nhật khi đăng ký và duy trì tài khoản.

3.2. Bảo mật tài khoản: Bạn chịu trách nhiệm đối với thông tin đăng nhập và mọi hoạt động phát sinh từ tài khoản của mình. Bạn cần thông báo ngay cho CyStack khi phát hiện hoặc nghi ngờ có truy cập trái phép.

3.3. Truy cập: Bạn chỉ được truy cập và sử dụng Dịch vụ thông qua giao diện hoặc API do CyStack cung cấp, trừ khi có thỏa thuận khác bằng văn bản. Bạn không được (i) truy cập trái phép hoặc cố gắng truy cập trái phép bất kỳ hệ thống, mạng hoặc tài khoản nào, hoặc (ii) vượt qua, né tránh hoặc can thiệp vào các biện pháp bảo mật của Dịch vụ.

4. Phạm vi dịch vụ và Quy định Sử dụng

4.1 Sản phẩm SaaS

CyStack cấp cho bạn quyền truy cập và sử dụng các sản phẩm SaaS đã đăng ký trong thời hạn gói dịch vụ, theo các giới hạn về tính năng, dung lượng và số lượng người dùng quy định trong gói tương ứng. Quyền này không độc quyền, không thể chuyển nhượng và có thể bị thu hồi theo Điều khoản này.

4.2 Dịch vụ chuyên môn

Các dịch vụ chuyên môn (pentest, red teaming, đánh giá bảo mật, SOC, DFIR, đào tạo) được cung cấp theo Phạm vi Công việc (SOW) hoặc hợp đồng dịch vụ riêng biệt. Trong trường hợp có mâu thuẫn giữa Điều khoản này và SOW, nội dung của SOW sẽ được ưu tiên áp dụng cho dịch vụ chuyên môn liên quan.

4.3 Các hành vi bị cấm

Bạn cam kết không sử dụng Dịch vụ để:

Vi phạm pháp luật hoặc quyền của bên thứ ba.

Gửi, lưu trữ hoặc truyền tải mã độc, virus hoặc nội dung có hại.

Can thiệp, gây gián đoạn hoặc làm suy giảm hoạt động của Dịch vụ, máy chủ hoặc mạng liên kết.

Cố gắng dịch ngược, tháo rời hoặc sao chép mã nguồn Dịch vụ.

Truy cập trái phép vào tài khoản, dữ liệu hoặc hệ thống của người dùng khác.

Bán lại, cho thuê lại hoặc cấp phép lại Dịch vụ cho bên thứ ba trừ khi được CyStack đồng ý bằng văn bản.

Sử dụng Dịch vụ để thực hiện kiểm thử bảo mật trên hệ thống mà bạn không có quyền sở hữu hoặc ủy quyền hợp pháp.

5. Phí và Thanh toán

5.1 Gói dịch vụ và Giá

CyStack cung cấp Dịch vụ theo các gói với tính năng và mức giá công bố tại cystack.net/vi/pricing hoặc theo báo giá riêng cho khách hàng doanh nghiệp. Một số tính năng có thể được cung cấp miễn phí trong phạm vi giới hạn nhất định.

5.2 Chu kỳ thanh toán

Phí dịch vụ SaaS được thanh toán theo chu kỳ tháng hoặc năm tùy gói đã chọn. Phí được tính trước cho mỗi chu kỳ thanh toán trừ khi có thỏa thuận khác.

5.3 Gia hạn tự động

Trừ khi bạn hủy trước khi kết thúc chu kỳ hiện tại, gói dịch vụ sẽ tự động gia hạn theo cùng chu kỳ và mức giá hiện hành. CyStack sẽ gửi thông báo gia hạn trước ít nhất 30 ngày đối với gói hàng năm và trước ít nhất 7 ngày đối với gói hàng tháng, qua email bạn đã đăng ký.

5.4 Thay đổi giá

CyStack có quyền điều chỉnh mức phí. Mức phí mới sẽ được áp dụng cho chu kỳ thanh toán tiếp theo và được thông báo trước ít nhất 30 ngày. Nếu bạn không đồng ý với mức phí mới, bạn có thể hủy Dịch vụ trước khi chu kỳ mới bắt đầu.

5.5 Thuế

Phí dịch vụ chưa bao gồm thuế giá trị gia tăng (VAT) và các loại thuế áp dụng khác trừ khi có ghi chú cụ thể. Bạn chịu trách nhiệm thanh toán các khoản thuế phát sinh theo quy định pháp luật.

5.6 Dịch vụ chuyên môn

Phí cho dịch vụ chuyên môn được quy định trong SOW hoặc hợp đồng dịch vụ riêng, bao gồm phạm vi, tiến độ và điều khoản thanh toán cụ thể.

6. Hủy và Hoàn tiền

6.1 Hủy bởi Khách hàng

Bạn có thể hủy gói dịch vụ SaaS bất cứ lúc nào thông qua bảng điều khiển tài khoản. Việc hủy có hiệu lực vào cuối chu kỳ thanh toán hiện tại. Bạn tiếp tục có quyền sử dụng Dịch vụ cho đến hết chu kỳ đã thanh toán.

6.2 Hoàn tiền

Phí đã thanh toán không được hoàn trả, trừ các trường hợp sau:

CyStack không cung cấp được Dịch vụ như cam kết trong thời gian liên tục vượt quá mức SLA (nếu có).

Pháp luật áp dụng yêu cầu hoàn tiền.

CyStack chủ động quyết định hoàn tiền trong trường hợp đặc biệt theo quyết định riêng.

6.3 Hủy bởi CyStack

CyStack có quyền tạm ngưng hoặc chấm dứt quyền sử dụng Dịch vụ của bạn nếu:

Bạn vi phạm Điều khoản này và không khắc phục trong vòng 15 ngày kể từ khi nhận được thông báo bằng văn bản.

Bạn không thanh toán phí đến hạn trong vòng 30 ngày kể từ ngày đến hạn.

Pháp luật yêu cầu CyStack ngừng cung cấp Dịch vụ cho bạn.

Việc tiếp tục cung cấp Dịch vụ tạo ra rủi ro bảo mật nghiêm trọng hoặc ảnh hưởng đến người dùng khác.

7. Dữ liệu Khách hàng

7.1 Quyền sở hữu

Bạn giữ toàn bộ quyền, quyền sở hữu và lợi ích đối với Dữ liệu Khách hàng. Không có nội dung nào trong Điều khoản này được hiểu là chuyển giao quyền sở hữu đó cho CyStack.

7.2 Quyền sử dụng hạn chế

Bạn cấp cho CyStack quyền truy cập, xử lý và lưu trữ Dữ liệu Khách hàng trong phạm vi cần thiết để cung cấp, duy trì và cải thiện Dịch vụ. Quyền này tự động chấm dứt khi hợp đồng dịch vụ kết thúc, theo các điều khoản lưu trữ tại Chính sách Quyền riêng tư.

7.3 Xuất dữ liệu

Trong thời gian sử dụng Dịch vụ và trong vòng 30 ngày sau khi chấm dứt, bạn có thể yêu cầu xuất Dữ liệu Khách hàng ở định dạng thông dụng. Sau thời hạn 30 ngày, CyStack có quyền xóa Dữ liệu Khách hàng theo Chính sách Quyền riêng tư.

7.4 Bảo vệ dữ liệu

CyStack xử lý dữ liệu cá nhân theo Chính sách Quyền riêng tư và tuân thủ pháp luật bảo vệ dữ liệu cá nhân hiện hành, bao gồm Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15), Nghị định 356/2025/NĐ-CP, và GDPR đối với người dùng tại EEA.

8. Quyền Sở hữu Trí tuệ

8.1 Quyền của CyStack

CyStack sở hữu toàn bộ quyền, quyền sở hữu và lợi ích đối với Dịch vụ, bao gồm nhưng không giới hạn ở phần mềm, mã nguồn, giao diện, thuật toán, tài liệu, thiết kế, nhãn hiệu, logo và tên miền. CyStack cấp cho bạn một quyền sử dụng có giới hạn theo Mục 4.

8.2 Hạn chế sử dụng

Bạn không được sao chép, sửa đổi, dịch ngược, tháo rời, tạo sản phẩm phái sinh, hoặc sử dụng nhãn hiệu, logo, tên miền của CyStack trừ khi được đồng ý bằng văn bản.

8.3 Tham chiếu khách hàng

Đối với khách hàng tổ chức, bạn đồng ý cho CyStack sử dụng tên và logo công ty của bạn trong danh sách khách hàng, tài liệu tiếp thị và truyền thông công khai, chỉ nhằm mục đích thể hiện mối quan hệ sử dụng dịch vụ.

Việc sử dụng này:

không gây hiểu lầm về việc bạn chứng thực hoặc bảo trợ cho CyStack;

tuân thủ hướng dẫn sử dụng thương hiệu (nếu có) của bạn.

Bạn có thể rút lại sự đồng ý này bất kỳ lúc nào bằng thông báo bằng văn bản gửi tới CyStack.

9. Tính sẵn sàng và Cập nhật Dịch vụ

9.1 Tính sẵn sàng

CyStack nỗ lực duy trì Dịch vụ hoạt động liên tục nhưng không cam kết Dịch vụ không bị gián đoạn. Việc bảo trì định kỳ sẽ được thông báo trước ít nhất 24 giờ qua email hoặc thông báo trong sản phẩm, trừ trường hợp bảo trì khẩn cấp để xử lý sự cố bảo mật.

9.2 Cập nhật

CyStack có thể cập nhật, nâng cấp hoặc điều chỉnh Dịch vụ để cải thiện tính năng, hiệu suất và bảo mật. Các cập nhật có thể được áp dụng tự động. Trong trường hợp cập nhật ảnh hưởng đáng kể đến chức năng hoặc tính tương thích, CyStack sẽ thông báo trước ít nhất 7 ngày.

9.3 Ngừng cung cấp dịch vụ

Nếu CyStack quyết định ngừng cung cấp một sản phẩm hoặc tính năng, CyStack sẽ thông báo trước ít nhất 90 ngày và hỗ trợ bạn xuất dữ liệu hoặc chuyển đổi.

10. Điều khoản Riêng theo Sản phẩm

10.1 Locker Password Manager

Locker sử dụng mã hóa đầu cuối (E2E) theo mô hình zero-knowledge. CyStack không có khả năng truy cập Master Password hoặc dữ liệu vault ở dạng giải mã.

Bạn chịu trách nhiệm bảo mật Master Password. Nếu bạn mất Master Password, CyStack không thể khôi phục dữ liệu vault.

Bạn không được sử dụng Locker để lưu trữ nội dung vi phạm pháp luật.

10.2 CyStack Endpoint

CyStack Endpoint thu thập dữ liệu cấp thiết bị cần thiết cho chức năng bảo vệ endpoint và DLP, trong phạm vi do quản trị viên tổ chức cấu hình.

Tổ chức sử dụng CyStack Endpoint chịu trách nhiệm đảm bảo việc triển khai tuân thủ pháp luật lao động và quyền riêng tư tại nơi hoạt động, bao gồm thông báo cho nhân viên khi cần thiết.

10.3 WhiteHub

Tổ chức tham gia chương trình Bug Bounty trên WhiteHub chịu trách nhiệm xác định phạm vi chương trình, chính sách thưởng và phản hồi báo cáo.

Nhà nghiên cứu bảo mật sử dụng WhiteHub phải tuân thủ quy tắc ứng xử và chính sách Responsible Disclosure của từng chương trình.

CyStack đóng vai trò nền tảng trung gian và không chịu trách nhiệm về nội dung các báo cáo lỗ hổng hoặc quyết định thưởng của tổ chức.

10.4 VulnScan & Data Leak Detection

Bạn chỉ được sử dụng VulnScan để quét các tài sản mà bạn sở hữu hoặc được ủy quyền hợp pháp.

Kết quả quét được cung cấp "nguyên trạng" (as-is). CyStack không đảm bảo phát hiện toàn bộ lỗ hổng hoặc rủi ro bảo mật.