Startup dùng Google Drive, CRM và phần mềm quản lý dữ liệu cần lưu ý gì?

Google Drive, phần mềm CRM, email doanh nghiệp và công cụ quản lý công việc giúp startup hoạt động ngay mà không phải tự vận hành máy chủ. Nhưng khi tài khoản quản trị nằm trong email cá nhân của một founder hoặc file hợp đồng được chia sẻ bằng link công khai, rủi ro quản trị xuất hiện từ rất sớm.

Dùng cloud không tự động là hành vi bị cấm. Vấn đề cần quan tâm là công ty đang lưu dữ liệu gì, ai kiểm soát tài khoản, nhà cung cấp và người dùng có trách nhiệm gì, dữ liệu được xử lý ở đâu và được chuyển giao như thế nào.

Bức tranh pháp lý cần biết

Luật Dữ liệu 60/2024/QH15 điều chỉnh hoạt động về dữ liệu số trong phạm vi luật, có hiệu lực từ ngày 01/07/2025. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, có hiệu lực từ 01/01/2026, cần được xem xét khi dữ liệu trên cloud bao gồm thông tin về cá nhân. Nghị định 363/2026/NĐ-CP là văn bản về xử phạt vi phạm hành chính trong lĩnh vực dữ liệu, hiệu lực từ 11/11/2026.

Điều 10 Nghị định 363 quy định về các hành vi vi phạm liên quan đến lưu trữ dữ liệu với chủ thể và điều kiện xác định trong nghị định. Không nên suy ra mọi startup chưa có “quy trình lưu trữ” đều đương nhiên chịu một mức phạt; phải đối chiếu chính xác đối tượng nêu tại Điều 2, loại dữ liệu và hành vi ở Điều 10, cùng các quy định liên quan.

1. Phân loại dữ liệu trước khi chọn nơi lưu

Trước tiên cần biết kho lưu trữ chứa gì. Một thư mục hình ảnh dùng cho marketing có đặc điểm khác với hợp đồng khách hàng, thông tin nhân viên hoặc tài liệu kỹ thuật nội bộ. Không nên gọi tất cả là dữ liệu cốt lõi hoặc dữ liệu quan trọng nếu không có căn cứ phân loại pháp luật.

Dữ liệu	Vấn đề quản trị	Hành động phù hợp
Tài liệu marketing	Công bố và phiên bản	Phân nhóm public/private
Hợp đồng, báo giá	Quyền xem và thời hạn lưu	Giới hạn theo vai trò
Lead, thông tin liên hệ	Dữ liệu cá nhân	Rà soát mục đích và bên truy cập
Dữ liệu nhân sự	Bảo mật, thay đổi nhân sự	Hạn chế quyền, thủ tục bàn giao
Cấu hình, khóa truy cập	Rủi ro chiếm quyền hệ thống	Lưu trong công cụ quản lý bí mật phù hợp

Bảng trên là ví dụ quản trị, không thay thế phân loại dữ liệu theo quy định pháp luật khi áp dụng.

2. Ai là chủ tài khoản quản trị?

Rủi ro quen thuộc là nhân viên đầu tiên tạo CRM bằng email cá nhân, sau đó sử dụng nhiều năm. Khi nhân viên nghỉ việc hoặc không thể đăng nhập, doanh nghiệp có thể mất quyền kiểm soát tài khoản, hóa đơn, lịch sử xuất dữ liệu và tích hợp.

Nên dùng tài khoản doanh nghiệp có quản trị rõ, đặt ít nhất một quy trình khôi phục phù hợp, phân quyền quản trị, bật MFA và kiểm tra các tài khoản được chia sẻ. Nếu ứng dụng không hỗ trợ những khả năng này, cần hiểu giới hạn và cân nhắc biện pháp thay thế.

3. Đừng nhầm đồng bộ với sao lưu

Một file bị xóa hoặc mã hóa nhầm có thể đồng bộ thay đổi đó sang tất cả thiết bị. Do vậy, công ty cần phân biệt tính năng đồng bộ, lịch sử phiên bản, thùng rác, sao lưu riêng và phục hồi thử. Chính sách sao lưu nên ưu tiên dữ liệu khó khôi phục: hợp đồng, chứng từ và cấu hình vận hành.

Câu hỏi cần đặt ra: nếu ngày mai mất quyền truy cập CRM, mất bao lâu để lấy lại dữ liệu? Có thể khôi phục bản trước sự cố không? Có thể xuất dữ liệu ở định dạng sử dụng được không? Đây là các câu hỏi vận hành, không phải thời hạn sao lưu được Nghị định 363 ấn định chung cho mọi startup.

4. Hợp đồng nhà cung cấp cần đọc những gì?

• Phạm vi dữ liệu được nhà cung cấp tiếp nhận hoặc xử lý.
• Quyền, trách nhiệm bảo mật và sử dụng dữ liệu.
• Vai trò của nhà cung cấp phụ hoặc các tích hợp liên quan.
• Cơ chế xuất, trả lại, xóa hoặc lưu dữ liệu khi ngừng sử dụng.
• Biện pháp bảo mật, khả năng nhật ký hoạt động và xử lý sự cố.
• Vị trí hoặc luồng xử lý xuyên biên giới khi thực tế có liên quan.

Không phải mọi hoạt động sử dụng dịch vụ nước ngoài đều bị cấm, cũng không thể tự kết luận có hay không nghĩa vụ chuyển dữ liệu xuyên biên giới nếu chưa kiểm tra dữ liệu, vai trò và khung pháp luật áp dụng.

5. Quản lý quyền truy cập theo vòng đời nhân sự

Khi một nhân viên mới vào, quyền nên được cấp theo nhiệm vụ. Khi chuyển bộ phận, quyền cần điều chỉnh. Khi nghỉ việc, tài khoản, phiên đăng nhập, token kết nối và các đường dẫn chia sẻ cần được rà soát. Một checklist offboarding ngắn hiệu quả hơn quy chế dài mà không ai thực hiện.

Ví dụ: Một startup có ba người bán hàng tại một văn phòng chia sẻ và một kế toán thuê ngoài. Kế toán cần hồ sơ thanh toán, không nhất thiết cần toàn bộ nội dung CRM. Sales cần dữ liệu khách được phân công, không mặc định cần truy cập thông tin nhân sự. Thiết kế vai trò sẽ giảm việc gửi chung một thư mục cho tất cả.

6. Nếu chọn chuyển CRM sang hệ thống mới

Trước khi chuyển dữ liệu, lập danh sách trường cần thiết, kiểm tra chất lượng, xác định người được phép export, thống nhất cơ chế bàn giao, bảo vệ file trung gian và ghi nhận việc vô hiệu hóa các kết nối cũ. Sau khi nhập dữ liệu vào hệ thống mới, nên kiểm tra lỗi trùng, dữ liệu thất lạc và quyền truy cập.

Không nên để file CSV chứa toàn bộ số điện thoại khách trong một thư mục mở link vĩnh viễn chỉ vì đội kỹ thuật cần thao tác nhanh. Nếu bên triển khai là bên thứ ba, cần xác định rõ nhiệm vụ và phạm vi nhận dữ liệu.

Checklist đánh giá một ứng dụng cloud trước khi mua

1. Có hỗ trợ tài khoản doanh nghiệp và MFA không?
2. Có thể phân quyền và thu hồi tài khoản không?
3. Có nhật ký hoạt động phù hợp với nhu cầu không?
4. Có thể xuất dữ liệu và thử khôi phục không?
5. Có điều khoản về lưu, chia sẻ và xử lý dữ liệu không?
6. Có biết những tích hợp hoặc đối tác phụ được truy cập không?
7. Có chính sách xử lý sự cố và hỗ trợ khi khóa tài khoản không?
8. Có thể xóa dữ liệu hoặc kết thúc hợp đồng theo thỏa thuận và pháp luật không?
9. Có xác định được dữ liệu cá nhân và việc xử lý liên quan không?
10. Có người chịu trách nhiệm vận hành trong nội bộ startup không?

Câu hỏi thường gặp

Lưu dữ liệu trên máy chủ quốc tế có mặc nhiên vi phạm Nghị định 363?

Không thể kết luận như vậy. Phải đánh giá loại dữ liệu, hoạt động thực tế và các quy định liên quan, bao gồm quy định chuyên ngành nếu áp dụng.

Founder dùng email cá nhân mở tài khoản có bị phạt tự động?

Không có căn cứ kết luận chỉ từ tình tiết này. Đây trước hết là rủi ro kiểm soát tài khoản cần sửa; pháp lý cần xét hành vi cụ thể.

Mọi startup đều phải tự xây dựng trung tâm dữ liệu?

Không. Sử dụng nhà cung cấp dịch vụ là mô hình phổ biến; doanh nghiệp cần quản lý trách nhiệm và việc xử lý dữ liệu thực tế.

Có nên sao lưu toàn bộ dữ liệu khách hàng vô thời hạn?

Không nên sao lưu vô hạn theo thói quen. Cần có chính sách vòng đời, mục đích và nghĩa vụ lưu trữ tương ứng.

Nguồn pháp lý

• Nghị định 363/2026/NĐ-CP, đặc biệt Điều 1, Điều 2 và Điều 10.
• Luật Dữ liệu 60/2024/QH15.
• Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.

Bài viết không mặc định tất cả nghĩa vụ về lưu trữ tại Điều 10 áp dụng cho mọi công ty dùng cloud; cần kiểm tra đối tượng và điều kiện của điều khoản.