NFR chia làm hai loại khi nhập liệu (data/nfr.yaml):

• NFR nghiệp vụ đã chốt: product/runtime boundaries, security baseline, data/reliability baseline — status “Baseline” sau khi decision liên quan đã chốt.
• Technical baseline: performance/monitoring/backup thresholds do team đặt/test theo dataset thực tế và lưu runbook/bằng chứng; không cần client chốt formal SLA/RPO/RTO để bắt đầu build.

Ranh giới phải giữ khi implementation và security review:

• Không auto purge dữ liệu business — soft-delete mặc định, hard purge là action riêng có confirmation/audit (nếu client chốt policy như vậy).
• Secrets never enter git, HTML, client bundles, logs or analytics (invariant AGENTS.md).
• Deployment inputs (credentials thật) phải seed trước pilot/release, nhưng không thay behavior nghiệp vụ.

NFR baseline của dự án. Ngưỡng thuần kỹ thuật (performance, monitoring, backup) do team đặt/test và lưu runbook; behavior nghiệp vụ thì phải qua decision.