1. 目的
1.1.本個人資料保護政策（「本政策」）旨在建立本公司收集、處理、使用、儲存、披露、傳輸及保護個人資料的框架與要求。
1.2.本政策旨在確保本公司處理的個人資料均以合法、公平、透明、安全及負責任的方式處理，並符合適用法律。
- 明確規定參與個人資料處理的員工、部門、承包商、個人資料處理者及其他人士的職責與問責機制。
- 保護資料當事人的合法權利及利益；
- 建立適用於個人資料整個生命週期的處理原則及要求；
- 確保個人資料僅為特定、明確及合法的目的進行處理，且僅限於實現該等目的所必要的範圍；
- 建立適當的組織、技術及人員措施，以防止個人資料遭未經授權的存取、收集、使用、披露、修改、遺失、毀損或其他非法處理；
- 建立適當機制，以識別、評估及管理個人資料保護風險，包括第三方服務供應商及跨境傳輸所產生的風險；
- 確保本公司履行與同意、通知、資料當事人權利、影響評估、個人資料外洩事件、紀錄保存、資料保留及其他適用要求相關的法律義務；
1.3.本政策的目的包括：
1.4.本政策為一般性框架，並應與本公司不時發布的適用同意書、程序、指引、合約要求、資訊安全政策及其他規範特定個人資料處理活動的內部文件一併實施。
2. 適用範圍
2.1.本政策適用於：
- 本公司，以及本公司的所有部門、業務單位及職能；
- 本公司的所有員工、借調人員、臨時員工及實習生；
- 代表本公司行事的承包商、顧問及其他人士，惟以其為本公司或代表本公司處理個人資料的範圍為限；及
- 本公司聘用的個人資料處理者、服務供應商及其他第三方，如其活動涉及代表本公司或與本公司相關的個人資料處理。
2.2.本政策適用於本公司處理的所有個人資料，不論該等資料以何種形式或媒介收集或儲存，包括電子及實體紀錄。個人資料可能涉及但不限於：
- 娛樂場賓客、酒店賓客、客戶及訪客；
- Hoiana Premier Rewards 會員或其他會員計劃會員；
- 員工、前員工及求職者；
- 供應商、承包商、業務合作夥伴及其代表；
- 緊急聯絡人及與資料當事人相關的人士；及
- 本公司因業務活動而處理其個人資料的其他人士。
3. 定義
就本政策而言，下列詞語具有以下含義：
3.1. 「適用法律」指所有不時適用的法律、法規、法典、規則、法令、通告、指令、決定、指引、標準、命令、判決及其他具有法律約束力的要求，包括與個人資料保護、網絡安全、資訊安全、私隱，以及本公司業務營運及個人資料處理相關的任何其他法律。
3.2. 「基本個人資料」指反映一般個人詳細資料及背景資訊、經常用於交易及社會關係中的個人資料，包括：全名、其他姓名；出生日期、死亡日期或失蹤日期；性別；出生地、原籍、永久地址、臨時居住地址、現居地址、聯絡地址；國籍；個人照片；電話號碼、個人識別號碼、護照號碼、駕駛執照號碼、車輛登記號碼；婚姻狀況；家庭關係資訊（父母、子女、配偶）；及個人的數位帳戶資訊。
3.3. 「本公司」指 Hoi An South Development Ltd，一家根據越南法律正式成立並營運的公司，其企業登記證書編號為 4000789705，由峴港市財政廳於2010年12月10日簽發，並可不時修訂。
3.4. 「主管機關」指根據適用法律具有管轄權的任何政府、監管、司法、行政或執法機關，包括負責越南個人資料保護及網絡安全事務的主管機關。
3.5. 「資料保護主任」或「DPO」指本公司不時委任、具備相關資格並負責監督及監察本公司遵守適用個人資料保護法律及法規的人士，包括就個人資料保護事宜向本公司提供意見、協調實施資料保護政策及程序、處理個人資料外洩事件、在需要時作為本公司與主管機關及資料當事人之間的聯絡窗口，以及根據適用法律及內部規定履行本公司指派的其他個人資料保護相關職責。
3.6. 「資料當事人」指其個人資料所涉及的自然人。
3.7. 「個人資料」指可識別或有助於識別特定個人的數位資料或其他形式的資訊，包括基本個人資料及敏感個人資料。
3.8. 「個人資料保護」指機關、組織及個人採取特定力量、設備及措施，以預防及防止侵犯個人資料的行為。
3.9. 「個人資料控制者」指決定個人資料處理目的及方式的機關、組織或個人。
3.10. 「個人資料控制者兼處理者」指決定個人資料處理目的及方式，並直接處理個人資料的機關、組織或個人。
3.11. 「個人資料處理」指對個人資料產生影響的活動，包括以下一項或多項活動：收集、分析、彙總、加密、解密、修改、刪除、銷毀、去識別化、提供、披露、傳輸個人資料，以及其他對個人資料產生影響的活動。
3.12. 「個人資料處理者」指根據合約，按照個人資料控制者或個人資料控制者兼處理者的要求處理個人資料的機關、組織或個人。
3.13. 「本政策」指本個人資料保護政策及其不時修訂及補充的附錄。
3.14. 「產品」指本公司不時提供、營運或管理的產品、服務、設施、計劃、活動及體驗，包括酒店住宿、餐飲、娛樂、博彩及娛樂場、高爾夫、會員計劃、活動、促銷，以及由本公司或代表本公司提供的其他產品或服務。
3.15. 「敏感個人資料」指與個人私隱權相關，若遭侵犯將直接影響機關、組織及個人合法權利及利益的個人資料，包括：種族或族裔來源資料；與私人生活、個人秘密及家庭秘密相關的資訊；健康狀況；生物識別資料及遺傳特徵；與個人的性生活或性取向相關的資料；執法機關收集及儲存的刑事犯罪或違法行為相關資料；透過基於位置的服務確定的個人位置；銀行帳戶資訊、銀行卡及交易紀錄；電子身分識別帳戶的使用者名稱及密碼；身分證、居民身分證及身分證明文件的影像；監控個人在使用電信服務、社交網絡、線上通訊服務及網絡空間其他服務時的行為及活動所得的資料。
- 直接向資料當事人收集： 本公司可能在資料當事人自願向本公司提供資料時直接收集個人資料，包括會員登記、購買、預訂或使用產品、根據合約或協議提供所需資料、提出查詢、提交要求、意見回饋或投訴、參與問卷或計劃，或以其他方式與本公司溝通或互動。該等個人資料可能透過書面表格、電子表格、電子郵件、電話、客戶服務或客服中心通訊、訊息或其他通訊渠道提供。
- 透過本公司網站、應用程式及數位平台： 本公司可能在資料當事人存取、瀏覽、註冊、預訂、提交資料或以其他方式與本公司網站、應用程式、線上平台及其他數位服務互動時收集個人資料。本公司亦可能在適用情況下透過 Cookie 及類似技術收集資訊，包括 IP 位址、裝置識別碼、瀏覽資訊、存取紀錄及因該等互動而產生的其他技術資訊。
- 透過閉路電視、存取控制及其他保安系統： 本公司可能透過其場所、設施及其管理或控制區域內營運的閉路電視攝影機、存取控制系統、保安及監控系統、訪客管理系統及其他保安技術收集個人資料，包括影像、影片錄影、存取紀錄及該等系統產生的其他資訊。
- 從第三方取得： 在適用法律允許或要求的情況下，本公司可能從第三方收集或接收個人資料，包括集團公司、業務合作夥伴、旅行社、預訂平台、服務供應商、承包商、供應商、支付服務供應商、專業顧問，以及參與提供或支援產品或相關活動的其他組織。
- 從主管機關及其他合法來源取得： 本公司可能從主管機關、公共機構、公開可取得的來源或本公司依法有權取得個人資料的其他來源收集或接收個人資料，前提是該等收集與適用的處理目的相關且為必要。
4. 收集及處理的個人資料類型
- 儲存。 本公司可能以實體及電子形式儲存個人資料，包括儲存於本公司的內部資訊系統、伺服器、應用程式、軟體及其他由本公司使用或授權使用的資訊科技系統，以及由本公司的個人資料處理者及服務供應商營運或代表本公司營運的系統及平台。
- 在適用法律允許的情況下，個人資料可能儲存、託管或於越南或其他司法管轄區存取，包括本公司的系統、授權軟體、雲端服務、集團公司、個人資料處理者或服務供應商營運所在地，但須遵守個人資料跨境傳輸的適用要求。
- 使用。 本公司僅會為本政策、相關私隱通知、同意書、登記或申請表、合約或協議，或向資料當事人提供或與其同意的其他適用文件所載明的目的使用個人資料，以及為適用法律允許或要求的其他目的使用個人資料。除非法律另有允許或要求，或已取得其他合法授權，個人資料不得用於與收集該等資料的原有目的不相容的用途。
- 保留。 本公司僅會在履行相關處理目的、執行或管理相關合約或業務關係、遵守適用的法律、監管、會計、稅務、牌照或其他要求、建立、行使或抗辯法律權利及索賠，或其他合法及正當目的所必要的期間內保留個人資料。具體保留期限可能根據個人資料類型、處理目的、相關紀錄性質、適用法律要求，以及本公司的適用資料保留期限或內部程序而確定。
- 準確性及存取。 本公司將採取合理措施，確保個人資料在相關處理目的所必要的範圍內保持準確、完整及最新。個人資料的存取權限將限於具有合法業務或法律需要的獲授權人士，並須遵守適用的存取控制及保密要求。
視乎資料當事人與本公司的互動方式及所使用的產品，本公司可能收集及處理以下類別的個人資料：
4.1. 身分及聯絡資料: 全名；出生日期；性別；國籍；護照或身分證明資料及照片；地址；電話號碼；電子郵件地址；等。
- 集團內公司： 本公司的企業集團內公司，在提供、管理、行政管理或支援產品、業務營運、共用系統或服務，或其他合法目的所必要的情況下。
- 個人資料處理者： 本公司聘用或代表本公司聘用的個人資料處理者，其根據本公司的指示及相關安排或合約所規定的目的處理個人資料。
- 服務供應商及承包商： 本公司聘用以提供技術、IT、雲端、支付、保安、酒店服務、市場推廣、客戶支援、行政或其他支援本公司產品及營運所需服務的服務供應商、承包商及其他供應商。
- 業務合作夥伴及其他相關組織： 業務合作夥伴、旅行社、預訂平台及其他參與或支援產品或相關活動提供或管理的組織，在相關披露、提供或分享屬必要且合法的情況下。
- 專業顧問： 律師、審計師、會計師、保險公司、顧問及其他專業顧問，在提供專業服務、管理風險、爭議、索賠或其他合法業務或法律目的所必要的情況下。
- 主管機關及其他合法接收方： 主管機關及機構、法院，以及適用法律、法院命令或其他合法要求所要求或允許披露、提供或分享的其他人士或組織，或為保護本公司或其他人士的權利、財產、安全或合法利益所必要的情況。
4.2. 付款及交易資料: 信用卡及銀行帳戶資料；信用紀錄及資訊；稅務資料；付款、會計、稅務、防欺詐及監管所需的其他資訊。
4.3. 影像、影片及音訊資料: 本公司可能在其場所營運閉路電視攝影機及其他錄影系統，以用於保安、安全、營運及其他合法目的。因此，本公司可能收集及處理：照片；閉路電視影像；影片錄影；音訊錄音；其他視覺或音訊資訊。
4.4. 技術及線上資料: 當資料當事人瀏覽本公司網站或使用本公司的數位服務時，本公司可能收集：IP 位址；裝置資訊；瀏覽器類型及版本；存取日期及時間；瀏覽頁面；引薦網站；Cookie 及類似技術；其他技術資訊。
4.5. 位置資料: 在必要且法律允許的情況下，本公司可能收集或處理與資料當事人裝置或其使用本公司產品相關的位置資訊。
4.6. 其他資訊: 本公司亦可能處理資料當事人透過以下方式提供的資訊：查詢；要求；投訴；意見回饋；問卷；通訊；與本公司的其他互動。
5. 個人資料處理目的
本公司可能使用資料當事人的個人資料，以營運、提供及改善產品。本公司的個人資料收集目的及使用範圍包括：
5.1. 提供產品: 本公司在提供、營運、管理、維護及改善產品，以及促進及管理與產品相關的交易及互動所必要的範圍內處理個人資料，包括但不限於登記、預訂、訂房、購買、付款、參與計劃、促銷、優惠、活動及其他活動、會員管理、服務要求及通訊，以及提供產品所必要或附帶的其他活動。
5.2. 安全、保安及損失防範: 本公司在保護賓客、客戶、員工、承包商、訪客及其他人士的安全、保安及福祉，以及保護本公司的財產、場所、設施、系統及營運所必要的範圍內處理個人資料，包括透過閉路電視及其他保安措施、存取控制、保安監控、事件偵測及調查、緊急應變、損失防範，以及預防及偵測非法、欺詐或禁止活動。
5.3. 市場推廣及廣告: 在遵守適用法律及任何適用同意或其他法律要求的前提下，本公司處理個人資料以進行直接市場推廣、廣告及促銷活動，包括執行市場推廣活動、提供針對性或個人化的市場推廣訊息、衡量市場推廣活動成效，以及制定及評估促銷策略。
5.4. 招聘及僱傭: 本公司在招聘、聘用、管理及行政管理員工、求職者及其他人員所必要的範圍內處理個人資料，包括招聘及甄選、僱傭管理、績效管理、薪酬及福利、培訓及發展、人力規劃、工作場所管理，以及遵守與僱傭相關的要求。
- 本公司： 本公司可視乎相關處理活動的性質，擔任個人資料控制者、個人資料控制者兼處理者或個人資料處理者。
- 本公司員工及人員： 員工及人員僅可在其獲授權職責所必要的範圍內存取或處理個人資料。
- 個人資料處理者及服務供應商： 本公司可能聘用個人資料處理者及服務供應商，以執行涉及個人資料的職能。
- 集團公司： 在符合本政策及適用法律，且屬必要及合法的情況下，本公司可能與集團內公司分享個人資料。
- 業務合作夥伴及其他第三方： 在適用法律允許或要求的情況下，本公司可能向業務合作夥伴、承包商、供應商、專業顧問、主管機關及其他第三方披露或提供個人資料。
5.5. 法規遵循: 本公司在遵守適用法律及主管機關的合法要求或命令、建立、行使或抗辯法律權利及索賠、保存公司、財務及其他所需紀錄，以及在適用法律允許的範圍內保護本公司及其他人士的權利、財產、安全及合法利益所必要的範圍內處理個人資料。
5.6. 業務營運及風險管理: 本公司在管理及保護其業務營運所必要的範圍內處理個人資料，包括進行內部審計及檢視、管理風險、偵測及防止欺詐、不當行為及其他違規情況、進行調查、管理爭議及索賠、監察對內部政策及程序的遵守情況，以及支援業務持續性及公司治理。
5.7. 分析及業務發展: 在適用法律允許的情況下，本公司可能為統計、分析及研究目的處理個人資料，包括分析趨勢及模式、評估業務表現、進行市場研究、制定業務策略，以及支援新產品、服務、技術及業務計劃的開發。
6. 個人資料處理
6.1. 收集
本公司可視乎相關處理活動的性質及目的，透過各種合法來源及渠道收集個人資料，包括但不限於：
本公司僅會透過合法及適當的方式收集個人資料，並以適用處理目的相關及必要的範圍為限。當個人資料由第三方取得時，在適用法律要求的情況下，本公司可能採取合理措施，以確認該等收集、提供或披露具有合法依據及正當性。
6.2. 儲存及使用
6.3. 披露、提供及分享
本公司可能在相關處理目的所必要、適用法律允許或要求，或獲其他合法授權的情況下，向第三方披露、提供或分享個人資料。視乎相關處理活動的性質，個人資料可能披露、提供或分享予：
本公司將把個人資料的任何披露、提供或分享限制在適用目的相關及必要的範圍內，並採取適當的組織、合約及技術措施，確保個人資料免受未經授權的存取、使用、披露、修改、遺失或其他非法處理。本公司將與相關接收方簽訂適當的協議或安排，並施加適當的資料保護及保密要求。如個人資料的披露、提供或分享構成適用法律下的跨境傳輸，本公司將遵守本政策第11條所載適用於該等跨境傳輸的要求。
6.4. 分析及個人特徵分析
本公司可能為合法及特定目的對個人資料進行分析及個人特徵分析，包括了解與資料當事人及其使用產品相關的模式、趨勢、偏好及特徵。該等活動可能包括統計分析、分類、個人化及本公司合法業務目的所需的其他分析。本公司將確保任何分析或個人特徵分析均符合適用法律，並採取適當措施保護資料當事人的權利及合法利益，尤其是在該等活動可能對資料當事人產生重大影響的情況下。
6.5. Cookie 及類似技術
本公司網站、應用程式及數位平台可能使用 Cookie、像素、標籤及其他類似技術，以收集資料當事人存取及使用該等平台的相關資訊，包括裝置資訊、瀏覽活動、偏好及使用資料。該等技術可能在適用法律允許的情況下用於啟用必要功能、維持安全性、記住偏好、分析使用情況及效能、個人化內容及支援市場推廣活動。資料當事人可透過瀏覽器設定、Cookie 偏好工具或本公司或相關第三方供應商提供的其他機制，管理、接受、拒絕或停用部分 Cookie 及類似技術。資料當事人亦可刪除已儲存於其裝置上的 Cookie，惟須受其瀏覽器或裝置的適用設定及功能限制。然而，停用或拒絕部分 Cookie 可能影響本公司網站及數位平台部分功能的可用性、效能或運作。
6.6. 刪除及銷毀
本公司將在以下情況刪除、銷毀或匿名化個人資料：
- 相關處理目的已完成；
- 適用的資料保留期限已屆滿；
- 資料當事人根據適用法律有效要求刪除或銷毀其個人資料；或
- 適用法律另有要求刪除、銷毀或匿名化。
當資料當事人要求刪除或銷毀個人資料時，本公司將根據適用法律及本公司的相關程序評估及處理該要求。若本公司依法須或獲准繼續保留該等個人資料，或存在其他合法依據支持繼續保留，本公司可繼續保留相關個人資料。當個人資料不再需要保留時，本公司將根據適用的資料保留期限及內部程序採取適當措施刪除、銷毀或匿名化相關個人資料。
7. 敏感個人資料的處理
本公司處理的部分個人資料可能屬於敏感個人資料。本公司在處理敏感個人資料時將採取更嚴格的保護措施，並確保該等處理僅為合法、特定及必要的目的進行。該等措施可能包括識別及記錄相關處理活動、按照「知悉必要」原則限制獲授權人員的存取權限、採取適當的組織及技術保障措施、保存適當紀錄，以及進行適用法律要求的任何評估、通知、文件記錄或其他合規措施。
8. 兒童個人資料的處理
本公司將以尊重及保護兒童權利及最佳利益的方式，並根據適用法律處理兒童個人資料。如資料當事人為兒童，本公司將取得其法定代表人的同意。如兒童年滿七（7）歲或以上，本公司將取得兒童本人及其法定代表人的同意。本公司將在必要或適用法律要求的情況下採取合理措施核實兒童的年齡，以及法定代表人的身分及代表資格。如相關同意被合法撤回，或主管機關根據適用法律規定的情況提出要求，本公司將停止處理兒童個人資料，除非適用法律另有允許或要求繼續處理。
9. 個人資料處理的開始及結束
9.1. 個人資料處理的開始
當本公司依法收集、接收、存取或以其他方式取得相關個人資料，並根據適用法律具備適當的法律依據處理該等個人資料時，個人資料處理即開始。本公司不得在相關處理缺乏合法依據或不符合適用法律的情況下開始或繼續處理個人資料。
9.2. 個人資料處理的結束
在以下情況，個人資料處理將結束：
- 相關處理目的已完成或不再適用；
- 處理的適用法律依據已不再存在，包括同意已依法撤回且不存在其他繼續處理的法律依據；
- 適用的資料保留期限已屆滿；或
- 適用法律另有要求停止處理。
停止某項處理活動並不一定要求立即刪除或銷毀相關個人資料，如本公司依法須或獲准為其他合法目的繼續保留該等個人資料。
10. 參與個人資料處理的組織及人士
視乎相關處理活動，參與個人資料處理的組織及人士可能包括：
本公司將採取適當措施，確保參與個人資料處理的人士及組織遵守適用的個人資料保護要求。
11. 個人資料跨境傳輸
本公司對個人資料的處理可能全部或部分在越南境外進行，包括透過本公司的集團公司、個人資料處理者、服務供應商、資訊科技系統、雲端服務或位於越南境外的其他系統或平台。
如涉及將個人資料傳輸至越南境外的處理活動構成適用法律下的個人資料跨境傳輸，本公司將遵守所有適用於個人資料跨境傳輸的要求。
本公司將採取適當的組織、合約及技術措施，確保跨境傳輸的個人資料受到適用法律所要求的保護，並就該等跨境傳輸進行任何所需的評估、文件記錄、通知或其他合規措施。
12. 個人資料保護影響評估
本公司將根據適用法律，自開始處理個人資料起建立、維護並提交個人資料保護影響評估及跨境傳輸個人資料保護影響評估（如適用）（統稱「DPIA」），除非適用法律規定有豁免。
DPIA 將評估本公司進行的處理活動，並識別及評估該等處理可能對資料當事人造成的潛在風險、影響及損害，以及為預防、降低或消除該等風險而已實施或擬實施的措施。
13. 資料當事人的權利及義務
13.1. 資料當事人的權利
- 就其個人資料而言，資料當事人享有以下權利：
- 獲告知個人資料處理相關資訊的權利；
- 同意或不同意個人資料處理，以及要求撤回同意的權利；
- 查閱、編輯或要求更正個人資料的權利；
- 要求提供、刪除或限制處理個人資料的權利；
- 提交反對個人資料處理要求的權利；
- 根據適用法律提出投訴、檢舉、訴訟或損害賠償請求的權利；
- 要求主管機關或與個人資料處理相關的機關、組織及個人，根據適用法律採取措施及解決方案以保護其個人資料的權利。
- 資料當事人可透過本政策所列聯絡方式向本公司提交要求，以行使其權利。本公司可能要求提供合理的資料及文件，以核實申請人的身分並確認其要求。本公司將根據適用法律並於法定期限內處理有效要求。
- 本公司可能在以下情況拒絕或限制資料當事人的要求：
- 要求不完整、無效或未按照本公司的適用程序提交；
- 資料當事人未能提供合理要求的足夠資料或文件以進行身分核實；
- 本公司有合理理由相信該要求涉及欺詐、濫用或違反適用法律；或
- 適用法律不允許該要求或對其有所限制。
- 如行使資料當事人的權利會影響本公司提供或維持產品或履行合約關係的能力，本公司可根據適用法律及相關合約條款採取適當措施。
13.2. 資料當事人的義務
就其個人資料而言，資料當事人負有以下義務：
- 自行保護其個人資料；
- 尊重及保護他人的個人資料；
- 根據適用法律、合約或同意允許本公司處理其個人資料的情況，合法、完整及準確地提供其個人資料；
- 妥善保管提供予其的帳戶憑證或其他資訊；及
- 在與本公司互動時遵守適用法律及合約要求。
14. 個人資料保護及資訊安全措施
本公司將採取適當的組織、技術及人員措施，保護個人資料免受未經授權的存取、使用、披露、修改、遺失、銷毀或其他非法處理。所採取的措施將與處理的性質、範圍及目的，以及資料當事人所面臨的風險程度相適應。
14.1. 組織措施
本公司將建立及維持適當的個人資料保護政策、程序及內部控制措施，包括存取管理、保密、風險評估、個人資料處理者及其他第三方管理、個人資料外洩事件應變及合規監察措施。獲授權處理個人資料的人員須遵守適當的保密及資料保護義務，並接受適當的指導及培訓。
14.2. 技術措施
本公司將實施適當的技術措施，以保護個人資料及資訊系統，包括身分驗證、存取控制、基於角色的存取、加密、網絡安全、系統監控及日誌記錄、備份及復原、惡意軟體防護，以及其他適當的安全技術及保障措施。
14.3. 加密
在適當情況下，考慮到處理的性質及風險，本公司將採用加密或其他適當的安全技術，以保護傳輸及／或儲存中的個人資料，尤其是敏感個人資料。
14.4. 保密及存取控制
個人資料的存取權限將按照「知悉必要」原則，並根據人員所獲指派的職責，限制於獲授權人員。人員不得超出其獲授權職責範圍存取、使用、複製、披露或以其他方式處理個人資料，亦不得違反適用法律或本公司的內部政策及程序。
14.5. 實體安全
本公司將採取適當的實體安全措施，以保護包含個人資料的場所、資訊系統、設備及紀錄。該等措施可能包括實體存取控制、限制區域、閉路電視、訪客管理及其他適當的保障措施。
15. 個人資料外洩事件管理
本公司將建立及維持適當的內部政策、程序及措施，以預防、偵測、管理、控制及處理個人資料外洩事件。該等政策及程序將視需要規定責任及報告機制、事件偵測及評估、遏制及補救措施、內部及外部通知與報告要求，以及根據適用法律應對及管理個人資料外洩事件所需的其他措施。本公司將根據適用的內部政策及程序，及時評估及處理任何個人資料外洩事件，並採取適當措施降低對資料當事人造成的潛在風險及影響，以及遵守任何適用的通知、報告及其他法律要求。
16. 紀錄及文件
本公司將根據適用法律建立及維持與個人資料處理活動相關的適當紀錄及文件。該等紀錄可能包括：
- 個人資料處理紀錄；
- 同意紀錄；
- 私隱通知及表格；
- DPIA；
- 個人資料處理者協議；
- 資料當事人要求；
- 個人資料外洩事件紀錄；
- 資料保留及刪除紀錄；
- 培訓紀錄；及
- 法律或本公司內部程序要求的其他文件。
紀錄將在適用期限內保存，並受到保護，以防止未經授權的存取、修改、遺失或銷毀。
17. 角色及職責
17.1. 管理層
管理層對確保本公司維持有效的個人資料保護框架，以及遵守與個人資料保護相關的適用法律負有整體責任。管理層應：
- 就本公司的個人資料保護提供整體監督及指導；
- 確保提供足夠的資源、人員、系統以及組織及技術措施，以支援本公司的個人資料保護義務；
- 支援本政策及相關政策與程序在本公司的實施及執行；
- 監督重大個人資料保護風險及合規事項，並確保採取適當措施處理相關風險；
- 支援建立適當的個人資料保護治理、問責及風險管理流程；
- 在需要時支援與主管機關及其他相關利益相關者合作；及
- 在本公司推動個人資料保護、資訊安全及合規文化。
17.2. 資料保護主任
DPO 應根據適用法律，就本公司的個人資料保護活動提供意見並參與相關工作。DPO 應：
- 就制定符合適用個人資料保護法律的政策、規定、程序及表格提供意見；
- 參與資料當事人權利的執行；
- 參與定期評估本公司遵守適用法律的情況，並提出改善合規及預防、控制個人資料處理活動相關風險的措施；
- 在適用情況下參與 DPIA 的編製及維護、個人資料外洩事件的接收及報告，以及根據適用法律執行主管機關提出的其他要求；
- 參與個人資料保護培訓及意識提升活動；
- 參與個人資料保護技術措施、適用標準及技術規範，以及本公司的個人資料保護事件緊急應變計劃的實施；及
- 履行適用法律要求的其他個人資料保護相關職責。
17.3. 法律及合規部
法律及合規部應支援本公司確保遵守與個人資料保護相關的法律及監管要求。法律及合規部應：
- 制定及實施個人資料保護政策、規定及程序；
- 組織及協調資料當事人權利的執行；
- 組織定期評估本公司遵守適用法律的情況，並提出改善合規及預防、控制個人資料處理活動相關風險的措施；
- 在適用情況下組織 DPIA 文件的編製、提交、更新及保存，以及根據適用法律接收及報告個人資料外洩事件；
- 組織個人資料保護培訓及意識提升活動；
- 組織及協調個人資料保護技術及組織措施、適用標準及技術規範，以及本公司的個人資料保護事件緊急應變計劃；及
- 研究並提出與個人資料保護相關的措施及決定。
17.4. IT 部
IT 部負責從技術及資訊安全角度支援本公司的個人資料保護框架。IT 部應：
- 實施及維護適當的技術措施，以保護個人資料及資訊系統免受未經授權的存取、使用、披露、修改、遺失、銷毀及其他非法處理；
- 根據相關處理的性質及風險，實施適當的存取控制、身分驗證、加密、監控、日誌記錄、備份、復原及其他技術保障措施；
- 支援個人資料的安全儲存、傳輸、保留及刪除；
- 根據獲授權的角色及職責管理及監控對包含個人資料的系統及應用程式的存取；
- 根據適用程序支援識別、評估、遏制及補救個人資料外洩事件及其他資訊安全事件；
- 在需要時為 DPIA 及其他個人資料保護評估提供技術支援；
- 就個人資料保護及資訊安全事宜與 DPO、法律及合規部及相關部門合作；及
- 建議並實施適當的技術改善措施，以加強本公司的個人資料保護及資訊安全控制。
17.5. 其他部門
各部門應負責確保其個人資料處理活動符合本政策、適用的內部程序及適用法律。各部門應：
- 僅為合法、特定及正當的目的，並在其獲授權職責範圍內處理個人資料；
- 確保部門收集、存取、使用、披露、儲存或以其他方式處理的個人資料均按照本政策及適用內部程序處理；
- 在適用情況下確保已具備適當的同意、通知、表格、合約安排或其他必要文件；
- 將個人資料的存取限制於具有合法業務需要的獲授權人員；
- 及時向 DPO 及相關利益相關者報告任何實際或疑似個人資料外洩事件、不合規情況或其他個人資料保護問題；
- 就 DPIA、資料當事人要求、個人資料外洩事件及其他個人資料保護事宜與 DPO、法律及合規部及 IT 部合作；及
- 確保部門遵守適用的資料保留、刪除及其他個人資料保護要求。
17.6. 員工及人員
本公司的所有員工及人員均有責任保護個人資料，並遵守本政策、適用法律及本公司的適用內部政策及程序。參與收集、處理、使用、儲存、披露或其他個人資料處理工作的員工及人員應：
- 僅按照授權並為合法業務目的處理個人資料；
- 保護其所接觸個人資料的機密性及安全性；
- 不得超出其獲授權職責範圍存取、使用、複製、披露或以其他方式處理個人資料；
- 遵守適用的存取控制、安全、資料保留及其他個人資料保護要求；
- 及時報告任何實際或疑似個人資料外洩事件、未經授權存取、披露、遺失或其他個人資料保護問題；及
- 按本公司要求參與個人資料保護及資訊安全培訓及意識提升活動。
17.7. 個人資料處理者及第三方
因本公司業務而處理或存取個人資料的個人資料處理者及第三方，應遵守適用法律及本公司適用的資料保護要求。本公司將採取適當措施，確保該等人士保護個人資料、僅為獲授權目的使用個人資料、維持適當的保密及安全措施，並在需要時配合本公司履行其個人資料保護義務。
18. 培訓及意識提升
本公司將為其人員及其他參與個人資料處理的相關人士開展適當的培訓及意識提升活動。該等培訓及意識提升活動旨在確保相關人員了解其個人資料保護相關責任及義務，提高其對資料保護及資訊安全風險的認識，並遵守適用法律及本公司的內部政策及程序。
19. 聯絡及報告
19.1. 資料當事人要求
資料當事人可聯絡本公司以：
- 行使其與個人資料相關的權利；
- 要求了解個人資料處理相關資訊；
- 提出私隱相關疑慮。
要求應提交至：
Hoi An South Development Ltd
地址： Tay Son Tay Hamlet, Duy Nghia Commune, Da Nang City, Vietnam
電子郵件：[email protected]
電話：0235 858 7777
本公司可能要求提供合理必要的資料，以核實申請人的身分及要求的合法性。
19.2. 內部報告
員工及人員應及時報告：
- 如適用的《個人資料外洩事件政策》所述的個人資料外洩事件；
- 違反本政策、適用的《個人資料外洩事件政策》或任何與個人資料保護相關的政策／規定的情況；或
- 其他個人資料保護問題。
報告可透過電子郵件 [email protected]、法律及合規部或本公司指定的其他內部報告渠道提交。
20. 政策審查
本政策應在必要時進行審查及更新，以確保符合適用法律、監管指引及營運要求，以及因應網絡安全風險，並按照 DPO 的要求進行。
21. 生效
本政策自發布之日起生效。本公司保留不時修訂本政策的權利。本政策由法律及合規部制定。