1. 目的
1.1.本个人数据保护政策（“本政策”）旨在建立本公司收集、处理、使用、存储、披露、传输及保护个人数据的框架与要求。
1.2.本政策旨在确保本公司处理的个人数据均以合法、公平、透明、安全及负责任的方式处理，并符合适用法律。
1.3.本政策的目的包括：
- 保护数据主体的合法权利及利益；
- 建立适用于个人数据整个生命周期的处理原则及要求；
- 确保个人数据仅为特定、明确及合法的目的进行处理，且仅限于实现该等目的所必要的范围；
- 建立适当的组织、技术及人员措施，以防止个人数据遭未经授权的访问、收集、使用、披露、修改、丢失、毁损或其他非法处理；
- 建立适当机制，以识别、评估及管理个人数据保护风险，包括第三方服务供应商及跨境传输所产生的风险；
- 确保本公司履行与同意、通知、数据主体权利、影响评估、个人数据泄露事件、记录保存、数据保留及其他适用要求相关的法律义务；
- 明确规定参与个人数据处理的员工、部门、承包商、个人数据处理者及其他人员的职责与问责机制。
1.4.本政策为一般性框架，并应与本公司不时发布的适用同意书、程序、指南、合同要求、信息安全政策及其他规范特定个人数据处理活动的内部文件一并实施。
2. 适用范围
2.1.本政策适用于：
- 本公司，以及本公司的所有部门、业务单位及职能；
- 本公司的所有员工、借调人员、临时员工及实习生；
- 代表本公司行事的承包商、顾问及其他人员，但以其为本公司或代表本公司处理个人数据的范围为限；及
- 本公司聘用的个人数据处理者、服务供应商及其他第三方，如其活动涉及代表本公司或与本公司相关的个人数据处理。
2.2.本政策适用于本公司处理的所有个人数据，无论该等数据以何种形式或媒介收集或存储，包括电子及实体记录。个人数据可能涉及但不限于：
- 娱乐场宾客、酒店宾客、客户及访客；
- Hoiana Premier Rewards 会员或其他会员计划会员；
- 员工、前员工及求职者；
- 供应商、承包商、业务合作伙伴及其代表；
- 紧急联系人及与数据主体相关的人员；及
- 本公司因业务活动而处理其个人数据的其他人员。
3. 定义
就本政策而言，下列词语具有以下含义：
3.1. “适用法律” 指所有不时适用的法律、法规、法典、规则、法令、通告、指令、决定、指南、标准、命令、判决及其他具有法律约束力的要求，包括与个人数据保护、网络安全、信息安全、隐私，以及本公司业务运营及个人数据处理相关的任何其他法律。
3.2. “基本个人数据” 指反映一般个人详细资料及背景信息、经常用于交易及社会关系中的个人数据，包括：全名、其他姓名；出生日期、死亡日期或失踪日期；性别；出生地、原籍、永久地址、临时居住地址、现住址、联系地址；国籍；个人照片；电话号码、个人识别号码、护照号码、驾驶证号码、车辆登记号码；婚姻状况；家庭关系信息（父母、子女、配偶）；及个人数字账户信息。
3.3. “本公司” 指 Hoi An South Development Ltd，一家根据越南法律正式成立并运营的公司，其企业登记证书编号为 4000789705，由岘港市财政厅于2010年12月10日签发，并可不时修订。
3.4. “主管机关” 指根据适用法律具有管辖权的任何政府、监管、司法、行政或执法机关，包括负责越南个人数据保护及网络安全事务的主管机关。
3.5. “数据保护官”或“DPO” 指本公司不时委任、具备相关资格并负责监督及监测本公司遵守适用个人数据保护法律及法规的人员，包括就个人数据保护事宜向本公司提供意见、协调实施数据保护政策及程序、处理个人数据泄露事件、在需要时作为本公司与主管机关及数据主体之间的联络窗口，以及根据适用法律及内部规定履行本公司指派的其他个人数据保护相关职责。
3.6. “数据主体” 指其个人数据所涉及的自然人。
3.7. “个人数据” 指可识别或有助于识别特定个人的数字数据或其他形式的信息，包括基本个人数据及敏感个人数据。
3.8. “个人数据保护” 指机关、组织及个人采取特定力量、设备及措施，以预防及防止侵犯个人数据的行为。
3.9. “个人数据控制者” 指决定个人数据处理目的及方式的机关、组织或个人。
3.10. “个人数据控制者兼处理者” 指决定个人数据处理目的及方式，并直接处理个人数据的机关、组织或个人。
3.11. “个人数据处理” 指对个人数据产生影响的活动，包括以下一项或多项活动：收集、分析、汇总、加密、解密、修改、删除、销毁、去标识化、提供、披露、传输个人数据，以及其他对个人数据产生影响的活动。
3.12. “个人数据处理者” 指根据合同，按照个人数据控制者或个人数据控制者兼处理者的要求处理个人数据的机关、组织或个人。
3.13. “本政策” 指本个人数据保护政策及其不时修订及补充的附录。
3.14. “产品” 指本公司不时提供、运营或管理的产品、服务、设施、计划、活动及体验，包括酒店住宿、餐饮、娱乐、博彩及娱乐场、高尔夫、会员计划、活动、促销，以及由本公司或代表本公司提供的其他产品或服务。
3.15. “敏感个人数据” 指与个人隐私权相关，若遭侵犯将直接影响机关、组织及个人合法权利及利益的个人数据，包括：种族或族裔来源数据；与私人生活、个人秘密及家庭秘密相关的信息；健康状况；生物识别数据及遗传特征；与个人性生活或性取向相关的数据；执法机关收集及存储的刑事犯罪或违法行为相关数据；通过基于位置的服务确定的个人位置；银行账户信息、银行卡及交易记录；电子身份识别账户的用户名及密码；身份证、居民身份证及身份证明文件的图像；监控个人在使用电信服务、社交网络、在线通信服务及网络空间其他服务时的行为及活动所得的数据。
- 直接向数据主体收集： 本公司可能在数据主体自愿向本公司提供信息时直接收集个人数据，包括会员登记、购买、预订或使用产品、根据合同或协议提供所需信息、提出咨询、提交请求、意见反馈或投诉、参与调查或计划，或以其他方式与本公司沟通或互动。该等个人数据可能通过书面表格、电子表格、电子邮件、电话、客户服务或客服中心通信、消息或其他通信渠道提供。通过本公司网站、应用程序及数字平台：
- 通过本公司网站、应用程序及数字平台： 本公司可能在数据主体访问、浏览、注册、预订、提交信息或以其他方式与本公司网站、应用程序、在线平台及其他数字服务互动时收集个人数据。本公司亦可能在适用情况下通过 Cookie 及类似技术收集信息，包括 IP 地址、设备标识符、浏览信息、访问日志及因该等互动而产生的其他技术信息。通过闭路电视、访问控制及其他安保系统：
- 通过闭路电视、访问控制及其他安保系统： 本公司可能通过其场所、设施及其管理或控制区域内运营的闭路电视摄像机、访问控制系统、安保及监控系统、访客管理系统及其他安保技术收集个人数据，包括图像、视频录像、访问记录及该等系统生成的其他信息。从第三方取得：
- 从第三方取得： 在适用法律允许或要求的情况下，本公司可能从第三方收集或接收个人数据，包括集团公司、业务合作伙伴、旅行社、预订平台、服务供应商、承包商、供应商、支付服务供应商、专业顾问，以及参与提供或支持产品或相关活动的其他组织。从主管机关及其他合法来源取得：
- 从主管机关及其他合法来源取得： 本公司可能从主管机关、公共机构、公开可取得的来源或本公司依法有权取得个人数据的其他来源收集或接收个人数据，前提是该等收集与适用的处理目的相关且为必要。
4. 收集及处理的个人数据类型
根据数据主体与本公司的互动方式及所使用的产品，本公司可能收集及处理以下类别的个人数据：
4.1. 身份及联系数据: 全名；出生日期；性别；国籍；护照或身份证明信息及照片；地址；电话号码；电子邮件地址；等。
- 存储。 本公司可能以实体及电子形式存储个人数据，包括存储于本公司的内部信息系统、服务器、应用程序、软件及其他由本公司使用或授权使用的信息技术系统，以及由本公司的个人数据处理者及服务供应商运营或代表本公司运营的系统及平台。
- 在适用法律允许的情况下，个人数据可能存储、托管或在越南或其他司法管辖区访问，包括本公司的系统、授权软件、云服务、集团公司、个人数据处理者或服务供应商运营所在地，但须遵守个人数据跨境传输的适用要求。使用。
- 使用。 本公司仅会为本政策、相关隐私通知、同意书、登记或申请表、合同或协议，或向数据主体提供或与其同意的其他适用文件所载明的目的使用个人数据，以及为适用法律允许或要求的其他目的使用个人数据。除非法律另有允许或要求，或已取得其他合法授权，个人数据不得用于与收集该等数据的原有目的不相容的用途。保留。
- 保留。 本公司仅会在履行相关处理目的、执行或管理相关合同或业务关系、遵守适用的法律、监管、会计、税务、牌照或其他要求、建立、行使或抗辩法律权利及索赔，或其他合法及正当目的所必要的期间内保留个人数据。具体保留期限可能根据个人数据类型、处理目的、相关记录性质、适用法律要求，以及本公司的适用数据保留期限或内部程序而确定。准确性及访问。
- 准确性及访问。 本公司将采取合理措施，确保个人数据在相关处理目的所必要的范围内保持准确、完整及最新。个人数据的访问权限将限于具有合法业务或法律需要的获授权人员，并须遵守适用的访问控制及保密要求。
4.2. 支付及交易数据: 信用卡及银行账户信息；信用记录及信息；税务信息；付款、会计、税务、防欺诈及监管所需的其他信息。
- 集团内公司： 本公司的企业集团内公司，在提供、管理、行政管理或支持产品、业务运营、共享系统或服务，或其他合法目的所必要的情况下。个人数据处理者：
- 个人数据处理者： 本公司聘用或代表本公司聘用的个人数据处理者，其根据本公司的指示及相关安排或合同所规定的目的处理个人数据。服务供应商及承包商：
- 服务供应商及承包商： 本公司聘用以提供技术、IT、云端、支付、安保、酒店服务、市场推广、客户支持、行政或其他支持本公司产品及运营所需服务的服务供应商、承包商及其他供应商。业务合作伙伴及其他相关组织：
- 业务合作伙伴及其他相关组织： 业务合作伙伴、旅行社、预订平台及其他参与或支持产品或相关活动提供或管理的组织，在相关披露、提供或共享属必要且合法的情况下。专业顾问：
- 专业顾问： 律师、审计师、会计师、保险公司、顾问及其他专业顾问，在提供专业服务、管理风险、争议、索赔或其他合法业务或法律目的所必要的情况下。主管机关及其他合法接收方：
- 主管机关及其他合法接收方： 主管机关及机构、法院，以及适用法律、法院命令或其他合法要求所要求或允许披露、提供或共享的其他人员或组织，或为保护本公司或其他人员的权利、财产、安全或合法利益所必要的情况。
4.3. 图像、视频及音频数据: 本公司可能在其场所运营闭路电视摄像机及其他录制系统，用于安保、安全、运营及其他合法目的。因此，本公司可能收集及处理：照片；闭路电视图像；视频录像；音频录音；其他视觉或音频信息。
4.4. 技术及在线数据: 当数据主体访问本公司网站或使用本公司的数字服务时，本公司可能收集：IP 地址；设备信息；浏览器类型及版本；访问日期及时间；浏览页面；引荐网站；Cookie 及类似技术；其他技术信息。
4.5. 位置数据: 在必要且法律允许的情况下，本公司可能收集或处理与数据主体设备或其使用本公司产品相关的位置数据。
4.6. 其他信息: 本公司亦可能处理数据主体通过以下方式提供的信息：咨询；请求；投诉；意见反馈；调查问卷；通讯；与本公司的其他互动。
5. 个人数据处理目的
本公司可能使用数据主体的个人数据，以运营、提供及改善产品。本公司的个人数据收集目的及使用范围包括：
5.1. 提供产品: 本公司在提供、运营、管理、维护及改善产品，以及促进及管理与产品相关的交易及互动所必要的范围内处理个人数据，包括但不限于登记、预订、预约、购买、付款、参与计划、促销、优惠、活动及其他活动、会员管理、服务请求及通讯，以及提供产品所必要或附带的其他活动。
5.2. 安全、安保及损失防范: 本公司在保护宾客、客户、员工、承包商、访客及其他人员的安全、安保及福祉，以及保护本公司的财产、场所、设施、系统及运营所必要的范围内处理个人数据，包括通过闭路电视及其他安保措施、访问控制、安全监控、事件检测及调查、紧急响应、损失防范，以及预防及检测非法、欺诈或禁止活动。
5.3. 市场推广及广告: 在遵守适用法律及任何适用同意或其他法律要求的前提下，本公司处理个人数据以进行直接市场推广、广告及促销活动，包括开展市场推广活动、提供针对性或个性化的市场推广信息、衡量市场推广活动成效，以及制定及评估促销策略。
5.4. 招聘及雇佣: 本公司在招聘、聘用、管理及行政管理员工、求职者及其他人员所必要的范围内处理个人数据，包括招聘及甄选、雇佣管理、绩效管理、薪酬及福利、培训及发展、人力规划、工作场所管理，以及遵守与雇佣相关的要求。
5.5. 法规遵循: 本公司在遵守适用法律及主管机关的合法要求或命令、建立、行使或抗辩法律权利及索赔、保存公司、财务及其他所需记录，以及在适用法律允许的范围内保护本公司及其他人员的权利、财产、安全及合法利益所必要的范围内处理个人数据。
- 本公司： 本公司可根据相关处理活动的性质，担任个人数据控制者、个人数据控制者兼处理者或个人数据处理者。本公司员工及人员：
- 本公司员工及人员： 员工及人员仅可在其获授权职责所必要的范围内访问或处理个人数据。个人数据处理者及服务供应商：
- 个人数据处理者及服务供应商： 本公司可能聘用个人数据处理者及服务供应商，以执行涉及个人数据的职能。集团公司：
- 集团公司： 在符合本政策及适用法律，且属必要及合法的情况下，本公司可能与集团内公司共享个人数据。业务合作伙伴及其他第三方：
- 业务合作伙伴及其他第三方： 在适用法律允许或要求的情况下，本公司可能向业务合作伙伴、承包商、供应商、专业顾问、主管机关及其他第三方披露或提供个人数据。
5.6. 业务运营及风险管理: 本公司在管理及保护其业务运营所必要的范围内处理个人数据，包括进行内部审计及审查、管理风险、检测及防止欺诈、不当行为及其他违规情况、进行调查、管理争议及索赔、监测对内部政策及程序的遵守情况，以及支持业务连续性及公司治理。
5.7. 分析及业务发展: 在适用法律允许的情况下，本公司可能为统计、分析及研究目的处理个人数据，包括分析趋势及模式、评估业务表现、进行市场研究、制定业务策略，以及支持新产品、服务、技术及业务计划的开发。
6. 个人数据处理
6.1. 收集
本公司可根据相关处理活动的性质及目的，通过各种合法来源及渠道收集个人数据，包括但不限于：
本公司仅会通过合法及适当的方式收集个人数据，并以与适用处理目的相关及必要的范围为限。当个人数据由第三方取得时，在适用法律要求的情况下，本公司可能采取合理措施，以确认该等收集、提供或披露具有合法依据及正当性。
6.2. 存储及使用
6.3. 披露、提供及共享
本公司可能在相关处理目的所必要、适用法律允许或要求，或获其他合法授权的情况下，向第三方披露、提供或共享个人数据。根据相关处理活动的性质，个人数据可能披露、提供或共享予：
本公司将把个人数据的任何披露、提供或共享限制在适用目的相关及必要的范围内，并采取适当的组织、合同及技术措施，确保个人数据免受未经授权的访问、使用、披露、修改、丢失或其他非法处理。本公司将与相关接收方签订适当的协议或安排，并施加适当的数据保护及保密要求。如个人数据的披露、提供或共享构成适用法律下的跨境传输，本公司将遵守本政策第11条所载适用于该等跨境传输的要求。
6.4. 分析及特征分析
本公司可能为合法及特定目的对个人数据进行分析及特征分析，包括了解与数据主体及其使用产品相关的模式、趋势、偏好及特征。该等活动可能包括统计分析、分类、个性化及本公司合法业务目的所需的其他分析。本公司将确保任何分析或特征分析均符合适用法律，并采取适当措施保护数据主体的权利及合法利益，尤其是在该等活动可能对数据主体产生重大影响的情况下。
6.5. Cookie 及类似技术
本公司网站、应用程序及数字平台可能使用 Cookie、像素、标签及其他类似技术，以收集数据主体访问及使用该等平台的相关信息，包括设备信息、浏览活动、偏好及使用数据。该等技术可能在适用法律允许的情况下用于启用必要功能、维持安全性、记住偏好、分析使用情况及性能、个性化内容及支持市场推广活动。数据主体可通过浏览器设置、Cookie 偏好工具或本公司或相关第三方供应商提供的其他机制，管理、接受、拒绝或停用部分 Cookie 及类似技术。数据主体亦可删除已存储于其设备上的 Cookie，但须受其浏览器或设备的适用设置及功能限制。然而，停用或拒绝部分 Cookie 可能影响本公司网站及数字平台部分功能的可用性、性能或运行。
6.6. 删除及销毁
本公司将在以下情况下删除、销毁或匿名化个人数据：
- 相关处理目的已完成；
- 适用的数据保留期限已届满；
- 数据主体根据适用法律有效要求删除或销毁其个人数据；或
- 适用法律另有要求删除、销毁或匿名化。
当数据主体要求删除或销毁个人数据时，本公司将根据适用法律及本公司的相关程序评估及处理该要求。如本公司依法须或获准继续保留该等个人数据，或存在其他合法依据支持继续保留，本公司可继续保留相关个人数据。当个人数据不再需要保留时，本公司将根据适用的数据保留期限及内部程序采取适当措施删除、销毁或匿名化相关个人数据。
7. 敏感个人数据的处理
本公司处理的部分个人数据可能属于敏感个人数据。本公司在处理敏感个人数据时将采取更严格的保护措施，并确保该等处理仅为合法、特定及必要的目的进行。该等措施可能包括识别及记录相关处理活动、按照“知悉必要”原则限制获授权人员的访问权限、采取适当的组织及技术保障措施、保存适当记录，以及进行适用法律要求的任何评估、通知、文件记录或其他合规措施。
8. 儿童个人数据的处理
本公司将以尊重及保护儿童权利及最佳利益的方式，并根据适用法律处理儿童个人数据。如数据主体为儿童，本公司将取得其法定代表人的同意。如儿童年满七（7）岁或以上，本公司将取得儿童本人及其法定代表人的同意。本公司将在必要或适用法律要求的情况下采取合理措施核实儿童的年龄，以及法定代表人的身份及代表资格。如相关同意被合法撤回，或主管机关根据适用法律规定的情况提出要求，本公司将停止处理儿童个人数据，除非适用法律另有允许或要求继续处理。
9. 个人数据处理的开始及结束
9.1. 个人数据处理的开始
当本公司依法收集、接收、访问或以其他方式取得相关个人数据，并根据适用法律具备适当的法律依据处理该等个人数据时，个人数据处理即开始。本公司不得在相关处理缺乏合法依据或不符合适用法律的情况下开始或继续处理个人数据。
9.2. 个人数据处理的结束
在以下情况下，个人数据处理将结束：
- 相关处理目的已完成或不再适用；
- 处理的适用法律依据已不再存在，包括同意已依法撤回且不存在其他继续处理的法律依据；
- 适用的数据保留期限已届满；或
- 适用法律另有要求停止处理。
停止某项处理活动并不一定要求立即删除或销毁相关个人数据，如本公司依法须或获准为其他合法目的继续保留该等个人数据。
10. 参与个人数据处理的组织及个人
根据相关处理活动，参与个人数据处理的组织及人员可能包括：
本公司将采取适当措施，确保参与个人数据处理的人员及组织遵守适用的个人数据保护要求。
11. 个人数据跨境传输
本公司对个人数据的处理可能全部或部分在越南境外进行，包括通过本公司的集团公司、个人数据处理者、服务供应商、信息技术系统、云服务或位于越南境外的其他系统或平台。
如涉及将个人数据传输至越南境外的处理活动构成适用法律下的个人数据跨境传输，本公司将遵守所有适用于个人数据跨境传输的要求。
本公司将采取适当的组织、合同及技术措施，确保跨境传输的个人数据受到适用法律所要求的保护，并就该等跨境传输进行任何所需的评估、文件记录、通知或其他合规措施。
12. 个人数据保护影响评估
本公司将根据适用法律，自开始处理个人数据起建立、维护并提交个人数据保护影响评估及跨境传输个人数据保护影响评估（如适用）（统称“DPIA”），除非适用法律规定有豁免。
DPIA 将评估本公司进行的处理活动，并识别及评估该等处理可能对数据主体造成的潜在风险、影响及损害，以及为预防、降低或消除该等风险而已实施或拟实施的措施。
13. 数据主体的权利及义务
13.1. 数据主体的权利
就其个人数据而言，数据主体享有以下权利：
- 获知个人数据处理相关信息的权利；
- 同意或不同意个人数据处理，以及要求撤回同意的权利；
- 查阅、编辑或要求更正个人数据的权利；
- 要求提供、删除或限制处理个人数据的权利；
- 提交反对个人数据处理请求的权利；
- 根据适用法律提出投诉、举报、诉讼或损害赔偿请求的权利；
- 要求主管机关或与个人数据处理相关的机关、组织及个人，根据适用法律采取措施及解决方案以保护其个人数据的权利。
- 数据主体可通过本政策所列联系方式向本公司提交请求，以行使其权利。本公司可能要求提供合理的信息及文件，以核实请求人的身份并确认其请求。本公司将根据适用法律并在法定期限内处理有效请求。
- 本公司可能在以下情况下拒绝或限制数据主体的请求：
- 请求不完整、无效或未按照本公司的适用程序提交；
- 数据主体未能提供合理要求的充分信息或文件以进行身份核实；
- 本公司有合理理由相信该请求涉及欺诈、滥用或违反适用法律；或
- 适用法律不允许该请求或对其有所限制。
- 如行使数据主体的权利会影响本公司提供或维持产品或履行合同关系的能力，本公司可根据适用法律及相关合同条款采取适当措施。
13.2. 数据主体的义务
就其个人数据而言，数据主体负有以下义务：
- 自行保护其个人数据；
- 尊重及保护他人的个人数据；
- 根据适用法律、合同或同意允许本公司处理其个人数据的情况下，合法、完整及准确地提供其个人数据；
- 妥善保管提供给其的账户凭证或其他信息；及
- 在与本公司互动时遵守适用法律及合同要求。
14. 个人数据保护及信息安全措施
本公司将采取适当的组织、技术及人员措施，保护个人数据免受未经授权的访问、使用、披露、修改、丢失、销毁或其他非法处理。所采取的措施将与处理的性质、范围及目的，以及数据主体所面临的风险程度相适应。
14.1. 组织措施
本公司将建立及维护适当的个人数据保护政策、程序及内部控制措施，包括访问管理、保密、风险评估、个人数据处理者及其他第三方管理、个人数据泄露事件响应及合规监测措施。获授权处理个人数据的人员须遵守适当的保密及数据保护义务，并接受适当的指导及培训。
14.2. 技术措施
本公司将实施适当的技术措施，以保护个人数据及信息系统，包括身份验证、访问控制、基于角色的访问、加密、网络安全、系统监控及日志记录、备份及恢复、恶意软件防护，以及其他适当的安全技术及保障措施。
14.3. 加密
在适当情况下，考虑到处理的性质及风险，本公司将采用加密或其他适当的安全技术，以保护传输及／或存储中的个人数据，尤其是敏感个人数据。
14.4. 保密及访问控制
个人数据的访问权限将按照“知悉必要”原则，并根据人员所获指派的职责，限制于获授权人员。人员不得超出其获授权职责范围访问、使用、复制、披露或以其他方式处理个人数据，亦不得违反适用法律或本公司的内部政策及程序。
14.5. 实体安全
本公司将采取适当的实体安全措施，以保护包含个人数据的场所、信息系统、设备及记录。该等措施可能包括实体访问控制、限制区域、闭路电视、访客管理及其他适当的保障措施。
15. 个人数据泄露事件管理
本公司将建立及维护适当的内部政策、程序及措施，以预防、检测、管理、控制及处理个人数据泄露事件。该等政策及程序将视需要规定责任及报告机制、事件检测及评估、遏制及补救措施、内部及外部通知与报告要求，以及根据适用法律应对及管理个人数据泄露事件所需的其他措施。本公司将根据适用的内部政策及程序，及时评估及处理任何个人数据泄露事件，并采取适当措施降低对数据主体造成的潜在风险及影响，以及遵守任何适用的通知、报告及其他法律要求。
16. 记录及文件
本公司将根据适用法律建立及维护与个人数据处理活动相关的适当记录及文件。该等记录可能包括：
- 个人数据处理记录；
- 同意记录；
- 隐私通知及表格；
- DPIA；
- 个人数据处理者协议；
- 数据主体请求；
- 个人数据泄露事件记录；
- 数据保留及删除记录；
- 培训记录；及
- 法律或本公司内部程序要求的其他文件。
记录将在适用期限内保存，并受到保护，以防止未经授权的访问、修改、丢失或销毁。
17. 角色及职责
17.1. 管理层
管理层对确保本公司维持有效的个人数据保护框架，以及遵守与个人数据保护相关的适用法律负有整体责任。管理层应：
- 就本公司的个人数据保护提供整体监督及指导；
- 确保提供足够的资源、人员、系统以及组织及技术措施，以支持本公司的个人数据保护义务；
- 支持本政策及相关政策与程序在本公司的实施及执行；
- 监督重大个人数据保护风险及合规事项，并确保采取适当措施处理相关风险；
- 支持建立适当的个人数据保护治理、问责及风险管理流程；
- 在需要时支持与主管机关及其他相关利益相关方合作；及
- 在本公司推动个人数据保护、信息安全及合规文化。
17.2. 数据保护官
DPO 应根据适用法律，就本公司的个人数据保护活动提供意见并参与相关工作。DPO 应：
- 就制定符合适用个人数据保护法律的政策、规定、程序及表格提供意见；
- 参与数据主体权利的执行；
- 参与定期评估本公司遵守适用法律的情况，并提出改善合规及预防、控制个人数据处理活动相关风险的措施；
- 在适用情况下参与 DPIA 的编制及维护、个人数据泄露事件的接收及报告，以及根据适用法律执行主管机关提出的其他要求；
- 参与个人数据保护培训及意识提升活动；
- 参与个人数据保护技术措施、适用标准及技术规范，以及本公司的个人数据保护事件紧急响应计划的实施；及
- 履行适用法律要求的其他个人数据保护相关职责。
17.3. 法律及合规部
法律及合规部应支持本公司确保遵守与个人数据保护相关的法律及监管要求。法律及合规部应：
- 制定及实施个人数据保护政策、规定及程序；
- 组织及协调数据主体权利的执行；
- 组织定期评估本公司遵守适用法律的情况，并提出改善合规及预防、控制个人数据处理活动相关风险的措施；
- 在适用情况下组织 DPIA 文件的编制、提交、更新及保存，以及根据适用法律接收及报告个人数据泄露事件；
- 组织个人数据保护培训及意识提升活动；
- 组织及协调个人数据保护技术及组织措施、适用标准及技术规范，以及本公司的个人数据保护事件紧急响应计划；及
- 研究并提出与个人数据保护相关的措施及决定。
17.4. IT 部
IT 部负责从技术及信息安全角度支持本公司的个人数据保护框架。IT 部应：
- 实施及维护适当的技术措施，以保护个人数据及信息系统免受未经授权的访问、使用、披露、修改、丢失、销毁及其他非法处理；
- 根据相关处理的性质及风险，实施适当的访问控制、身份验证、加密、监控、日志记录、备份、恢复及其他技术保障措施；
- 支持个人数据的安全存储、传输、保留及删除；
- 根据获授权的角色及职责管理及监控对包含个人数据的系统及应用程序的访问；
- 根据适用程序支持识别、评估、遏制及补救个人数据泄露事件及其他信息安全事件；
- 在需要时为 DPIA 及其他个人数据保护评估提供技术支持；
- 就个人数据保护及信息安全事宜与 DPO、法律及合规部及相关部门合作；及
- 建议并实施适当的技术改善措施，以加强本公司的个人数据保护及信息安全控制。
17.5. 其他部门
各部门应负责确保其个人数据处理活动符合本政策、适用的内部程序及适用法律。各部门应：
- 仅为合法、特定及正当的目的，并在其获授权职责范围内处理个人数据；
- 确保部门收集、访问、使用、披露、存储或以其他方式处理的个人数据均按照本政策及适用内部程序处理；
- 在适用情况下确保已具备适当的同意、通知、表格、合同安排或其他必要文件；
- 将个人数据的访问限制于具有合法业务需要的获授权人员；
- 及时向 DPO 及相关利益相关方报告任何实际或疑似个人数据泄露事件、不合规情况或其他个人数据保护问题；
- 就 DPIA、数据主体请求、个人数据泄露事件及其他个人数据保护事宜与 DPO、法律及合规部及 IT 部合作；及
- 确保部门遵守适用的数据保留、删除及其他个人数据保护要求。
17.6. 员工及人员
本公司的所有员工及人员均有责任保护个人数据，并遵守本政策、适用法律及本公司的适用内部政策及程序。参与收集、处理、使用、存储、披露或其他个人数据处理工作的员工及人员应：
- 仅按照授权并为合法业务目的处理个人数据；
- 保护其所接触个人数据的机密性及安全性；
- 不得超出其获授权职责范围访问、使用、复制、披露或以其他方式处理个人数据；
- 遵守适用的访问控制、安全、数据保留及其他个人数据保护要求；
- 及时报告任何实际或疑似个人数据泄露事件、未经授权访问、披露、丢失或其他个人数据保护问题；及
- 按本公司要求参与个人数据保护及信息安全培训及意识提升活动。
17.7. 个人数据处理者及第三方
因本公司业务而处理或访问个人数据的个人数据处理者及第三方，应遵守适用法律及本公司适用的数据保护要求。本公司将采取适当措施，确保该等人员保护个人数据、仅为获授权目的使用个人数据、维持适当的保密及安全措施，并在需要时配合本公司履行其个人数据保护义务。
18. 培训及意识提升
本公司将为其人员及其他参与个人数据处理的相关人员开展适当的培训及意识提升活动。该等培训及意识提升活动旨在确保相关人员了解其个人数据保护相关责任及义务，提高其对数据保护及信息安全风险的认识，并遵守适用法律及本公司的内部政策及程序。
19. 联系及报告
19.1. 数据主体请求
数据主体可联系本公司以：
- 行使其与个人数据相关的权利；
- 要求了解个人数据处理相关信息；
- 提出隐私相关疑虑。
请求应提交至：
Hoi An South Development Ltd
地址： Tay Son Tay Hamlet, Duy Nghia Commune, Da Nang City, Vietnam
电子邮件： [email protected]
电话号码： 0235 858 7777
本公司可能要求提供合理必要的信息，以核实请求人的身份及请求的合法性。
19.2. 内部报告
员工及人员应及时报告：
- 如适用的《个人数据泄露事件政策》所述的个人数据泄露事件；
- 违反本政策、适用的《个人数据泄露事件政策》或任何与个人数据保护相关的政策／规定的情况；或
- 其他个人数据保护问题。
报告可通过电子邮件 [email protected]、法律及合规部或本公司指定的其他内部报告渠道提交。
20. 政策审查
本政策应在必要时进行审查及更新，以确保符合适用法律、监管指南及运营要求，以及因应网络安全风险，并按照 DPO 的要求进行。
21. 生效
本政策自发布之日起生效。本公司保留不时修订本政策的权利。本政策由法律及合规部制定。