Privacy Policy (Personal Data Protection Policy)

本个人数据保护政策说明Vinpearl股份公司（以下简称“公司”）在经营和业务活动过程中产生的个人数据的收集、使用和处理方式。公司地址为越南庆和省芽庄市永原坊竹岛，官方网站为https://vinpearl.com。

1. 一般规定

1.1. 个人数据：是指在电子环境中以符号、文字、数字、图像、声音或类似形式呈现，与特定个人相关联或有助于识别特定个人的信息。个人数据包括基本个人数据和敏感个人数据。

1.2. 个人数据主体：是指个人数据所反映的个人，包括正在使用公司产品和服务的所有个人客户、公司员工、股东和/或与公司发生法律关系的其他个人。

1.3. 个人数据处理：是指对个人数据实施的一项或多项活动，例如：收集、记录、分析、确认、存储、修改、公开、合并、访问、检索、恢复、加密、解密、复制、共享、传输、提供、转移、删除、销毁个人数据或其他相关行为。

1.4. 当个人数据主体之相关人员的个人数据（包括但不限于受抚养人、法律规定的相关人员、配偶、子女和/或父母和/或监护人、朋友、受益人、被授权人、合作伙伴、紧急情况下的联系人或个人数据主体的其他相关个人的信息）被提供给公司时，个人数据主体及其相关人员声明、保证并承担责任，确认所提供的信息完整，且已获得个人数据主体的合法同意/批准，可为本政策所述目的进行处理。个人数据主体及其相关人员同意，公司无责任审查该同意/批准的合法性和有效性，保存证明材料的责任由个人数据主体的相关人员和个人数据主体承担。如个人数据主体和/或其相关人员未正确履行本条规定，公司免于承担责任，并有权要求赔偿相关损失和费用。

1.5. 个人数据主体通过注册、使用公司的产品和服务、签订合同和/或允许公司处理个人数据，即表示无条件接受本政策所述的全部政策及其不时作出的变更（如有）。

1.6. 公司可不时更新、修改、补充或替换本政策，并将其发布于公司的官方网站。您应定期访问和查看我们的网站，以了解最新变更。

1.7. 公司承诺在处理个人数据时遵守以下原则：

(i) 公司依照越南法律规定处理和保护个人数据；全面遵守与个人数据主体订立的合同、协议及其他文件；

(ii) 公司为具体、明确、合法的目的，在本政策第3节所述目的范围内并依照越南法律规定收集个人数据；

(iii) 公司始终依照越南法律规定采用并更新适当的技术措施，以确保个人数据安全，包括防止未经授权的访问和/或个人数据被破坏、丢失或损坏的保护措施；

(iv) 公司以适当方式并在依照越南法律规定进行处理所必需的范围内存储个人数据；

(v) 公司承诺遵守与儿童数据保护有关的规定。

2. 被处理的个人数据

为使公司能够为本政策第3节所述目的处理个人数据，公司可处理以下类型的个人数据：

2.1. 基本个人数据包括：

(i) 出生时的姓、中间名和名，以及其他姓名（如有）；

(ii) 出生日期；死亡或失踪日期；

(iii) 性别；

(iv) 出生地、出生登记地、永久居住地、临时居住地、当前居住地、籍贯、联系地址；

(v) 国籍；

(vi) 个人图像；从安防系统获得的信息，包括公司经营/交易地点的摄像机和监控系统所记录的个人数据主体图像；

(vii) 电话号码、身份证号码、公民身份证号码、个人身份号码、护照号码、驾驶证号码、车辆号牌号码、个人税号、社会保险号码、医疗保险卡号码；

(viii) 职业、工作单位；

(ix) 婚姻状况；

(x) 家庭关系信息（父母、子女）；

(xi) 个人数字账户信息；反映其偏好和网络空间活动历史的个人数据；

(xii) 与特定个人相关联或有助于识别特定个人，且不属于下文第2.2节所述敏感个人数据范围的其他信息。

2.2. 敏感个人数据主要包括以下数据：

(i) 政治观点、宗教观点；

(ii) 病历中记录的健康状况和私人生活，不包括血型信息；

(iii) 与种族血统、民族血统有关的信息；

(iv) 个人遗传或后天获得的遗传特征信息；

(v) 个人身体属性和独特生物特征信息；

(vi) 执法机关收集、存储的犯罪及犯罪行为数据；

(vii) 个人数据主体的银行账户信息；

(viii) 通过定位服务确定的客户位置数据；

(ix) 法律规定为特殊且需要采取必要保密措施的其他个人数据。

3. 个人数据处理目的

个人数据可为以下一项或多项目的进行处理：

3.1. 评估向个人数据主体提供产品、服务和/或与其签订合同的能力，包括但不限于以下目的：

(i) 识别、核实个人数据主体的信息；

(ii) 根据个人数据主体和/或其相关人员的登记文件、申请书、合同，评估、审查并批准提供产品、服务；

(iii) 考虑向个人数据主体提供或继续提供公司的任何产品、服务；

3.2. 履行公司与个人数据主体之间的合同、协议、条款、条件及其他文件中的义务，并提供客户支持，包括但不限于以下目的：

(i) 履行合同、协议项下的义务，并向个人数据主体提供产品、服务；

(ii) 更新、处理个人数据主体的信息；

(iii) 提供客户关怀，解决个人数据主体的投诉和诉讼；

(iv) 使用个人数据及相关信息并将其转移给合作伙伴，以识别和解决产品、服务问题；维修产品；

(v) 联系、通知个人数据主体；

(vi) 实施促销、礼品兑换、颁奖、礼品配送、营销和广告活动；

(vii) 实施其他客户关怀和支持活动。

3.3. 提高公司产品和服务的质量，包括但不限于：

(i) 提供客户要求的信息或公司认为对客户有用的信息；

(ii) 改进网站、社交网络、应用程序的技术和界面，确保客户使用便利；

(iii) 管理由Vingroup及Vingroup集团成员公司实施的客户账户和客户忠诚度计划；

(iv) 对数据进行统计、分析，以研究、构建、开发和改进产品、服务；提升客户体验；

(v) 根据客户需求和实际条件开发、提供个性化的新产品、服务；

(vi) 介绍、提供公司产品、服务以及公司与合作伙伴合作提供的产品、服务的促销和优惠活动；

(vii) 通过识别客户偏好，推荐客户可能感兴趣的产品、服务。

3.4. 服务于公司的经营和运营活动，包括但不限于履行报告、财务、会计和税务义务，开展审计、合规活动，以及公司认为必要的、服务于公司合法经营的其他活动。

3.5. 重组、项目/企业转让：

在经营过程中，公司可依照法律规定出售或收购企业、重组企业或转让项目或其他服务。因此，个人数据及一般信息使用权属于被转让资产之一。在任何情况下，各方均应依照法律规定和本政策进行数据转移和处理。

3.6. 营销：制定营销活动，推广产品、服务，包括根据客户偏好制定营销活动；

3.7. 防范、防止、预防、调查、侦查犯罪。

3.8. 维护社会秩序与安全，保护个人数据主体、公司及其他相关方的合法权利和利益。

3.9. 遵守法律规定和越南作为缔约方的国际条约，包括但不限于：

(i) 依照法律规定向有权国家机关提供信息；

(ii) 履行法律规定以及公司必须遵守的国际条约规定的义务（如有）。

3.10. 经个人数据主体同意的其他目的。

4. 个人数据处理方式

4.1. 收集方式

个人数据按以下方式收集：

(i) 来自公司的网站、应用程序：当个人数据主体填写公司网站、应用程序上提供的表格时，个人数据被收集。

(ii) 来自公司提供产品、服务及履行合同、协议项下义务的过程：当个人数据主体购买、注册使用、使用任何产品、服务或与公司签订合同时，个人数据被收集。

(iii) 来自与个人数据主体的交流、联系：通过公司与个人数据主体之间的互动（直接会面、信函、电话、在线、呼叫中心系统、电子通信或任何其他方式），包括调查，收集个人数据；

(iv) 来自社交网络：公司的社交网络和/或公司与合作伙伴合作的社交网络；

(v) 来自录音、录像设备：该等设备设置在商店、经营场所或开展公司部分或全部经营活动且个人数据主体与公司会面、出现或互动的地点；

(vi) 来自互动或自动数据收集技术：公司可从连接中收集自动记录的信息：

· Cookie、像素标签及其他类似技术；

· 任何能够追踪个人在设备或网站上活动的技术；

· 设备提供的其他数据信息。

(vii) 其他方式

公司可通过公开、正式的信息来源，或在与公司合作过程中从母公司、子公司、关联公司、合作伙伴接收其依照法律规定共享的必要数据，以收集个人数据。

4.2. 存储方式

个人数据存储于越南境内公司的数据库系统中，或存储于我们或我们的分支机构、子公司、关联公司、合作伙伴或服务提供商设有设施的任何地点。

个人数据存储期限根据本政策所述使用目的并依照法律规定确定。

4.3. 数据转移/共享方式

公司不会向任何一方出售个人数据。公司采取必要的保密措施，确保个人数据的安全转移/共享。公司与以下主体共享个人数据：(i) 公司的母公司、子公司、关联公司；(ii) 参与本政策规定的个人数据处理过程的个人/组织；或(iii) 有权国家机关，或依照法律规定的其他情形。

如个人数据接收方的总部位于越南境外，则在向境外提供/转移个人数据时（包括但不限于使用网络空间、设备、电子方式或其他形式将个人数据转移至越南境外），公司将要求接收方确保所提供/转移的个人数据安全和保密。公司承诺全面遵守越南法律的规定和合规要求，以保护个人数据安全。

4.4. 分析方式

个人数据依据公司的内部流程、数据保密原则以及信息技术系统的信息安全保障要求进行分析。

4.5. 加密方式

必要时，所收集的个人数据在存储、转移和处理过程中按照适当的加密标准进行加密，以确保数据始终受到保护。

4.6. 数据删除方式

依照法律规定或根据个人数据主体的有效请求，公司将删除正在存储的个人数据，但以下情形除外：

(i) 法律规定不允许删除数据或强制要求存储数据；

(ii) 个人数据由有权国家机关依照法律规定为服务国家机关活动之目的进行处理；

(iii) 个人数据已依照法律规定公开；

(iv) 个人数据依照法律规定为法律要求、科学研究、统计之目的进行处理；

(v) 发生国防、国家安全、社会秩序与安全紧急状态、重大灾害、危险疫情时；存在威胁安全、国防的风险但尚未达到宣布紧急状态的程度时；防范、打击暴乱、恐怖主义、犯罪和违法行为时；

(vi) 应对威胁个人数据主体或其他个人的生命、健康或安全的紧急情况。

在个人数据处理的整个过程中，保密是公司的最高优先事项。公司采取适当的技术措施，防止未经授权访问、使用个人数据。我们还定期与安全专家合作，更新最新的网络安全技术，确保个人数据安全。对于金融机构发行的您的支付卡数据，公司按照不在我们的系统中记录重要支付卡数据（卡号、姓名、CVV）的原则予以保护。您的支付交易通过相关银行的系统进行。

5. 儿童个人数据的处理

5.1. 公司将按照保护儿童权利、以儿童最佳利益为原则并依照法律规定处理儿童个人数据。

5.2. 只有在父母或监护人同意儿童使用公司的产品、服务，同意公司处理儿童个人数据，同意本政策并遵守相关法律要求的情况下，公司才处理儿童个人数据并向儿童提供产品、服务。如年满7岁的儿童使用公司的产品、服务，除上述要求外，公司仅在获得该儿童同意后方可处理其个人数据。父母或监护人负责在向公司提供儿童个人数据之前取得儿童的同意。

6. 可能发生的非预期后果和损失

6.1. 公司采用防火墙系统、访问控制措施、加密等多种信息安全技术，保护个人数据并防止其被未经授权访问、使用或共享。但在以下某些情况下，公司无法承诺绝对保证个人数据安全：

(i) 数据处理过程中的硬件、软件错误导致个人数据主体的数据丢失；

(ii) 超出公司控制能力的安全漏洞，或系统遭到黑客攻击导致数据暴露、泄漏。

6.2. 公司建议个人数据主体对账户登录密码、OTP验证码等相关信息予以保密，不得与任何其他人共享此类内容。

6.3. 个人数据主体应明确知悉，无论何时其披露并公开自己的个人数据，该数据均可能被他人收集并用于超出个人数据主体和公司控制范围的目的。

6.4. 公司建议个人数据主体在使用过程中妥善保管个人设备（手机、平板电脑、个人电脑等）。个人数据主体在不使用账户时应退出登录。

6.5. 如数据存储服务器遭到攻击，导致个人数据丢失、暴露或泄漏，公司有责任及时通知有关机关调查处理，并依照法律规定通知个人数据主体。

6.6. 网络空间并非安全环境，公司无法绝对保证通过网络空间共享的个人数据始终得到保密。通过网络空间传输个人数据时，个人数据主体仅应使用安全系统访问网站、应用程序或设备。个人数据主体有责任确保其访问各网站、应用程序或设备的身份验证信息安全、保密。

7. 个人数据处理的开始时间和结束时间

7.1. 自公司合法接收个人数据且依照法律规定具有处理数据的适当法律依据之时起，个人数据即被处理。

7.2. 个人数据将被处理至数据处理目的完成为止。

7.3. 即使双方之间的合同已经终止，公司仍可能须存储个人数据，以履行法律规定的义务和/或有权国家机关的要求。

8. 参与个人数据处理过程的组织、个人

8.1. 根据具体情况，公司可以是个人数据控制方，或个人数据控制和处理方。

8.2. 在法律允许的范围内，个人数据主体明确知悉，公司可为本政策所述目的与以下组织、个人共享个人数据：

(i) 公司的母公司、子公司、关联公司；

(ii) 向公司提供服务和/或与公司合作的组织、个人，包括但不限于：代理商、审计师、律师、业务合作伙伴、信息技术解决方案、软件、应用程序、运营服务、管理服务、故障处理服务、基础设施开发服务的提供方；

(iii) 作为个人数据主体的代表、被授权方或代表个人数据主体行事的任何个人、组织；

数据共享将按照现行法律规定的程序和方式进行。个人数据接收方有义务依照本政策、公司的内部规定和个人数据保护标准以及现行法律规定，对个人数据予以保密。

8.3. 公司可能须依照法律规定与有权国家机关共享个人数据。

9. 个人数据主体的权利

9.1. 有权知悉其个人数据处理活动，法律另有规定的除外。

9.2. 有权同意或不同意处理其个人数据，法律另有规定的除外。

9.3. 有权访问以查看、修改或要求修改其个人数据，法律另有规定的除外。

9.4. 有权撤回同意。

9.5. 有权删除数据。

9.6. 有权依照法律规定限制处理其个人数据。

9.7. 有权要求向本人提供其个人数据，法律另有规定的除外。

9.8. 有权反对数据处理。

9.9. 有权投诉、举报、提起诉讼。

9.10. 有权要求损害赔偿。

9.11. 有权自行保护。

个人数据主体可通过向公司提出请求来行使上述权利。请求表必须发送给公司，并包含以下基本内容：请求人的信息、请求的详细内容［例如，需要提供或删除的数据类型、文件或档案名称（如有）］、提出请求的理由和目的，以及取决于请求具体性质的相关信息（例如，要求提供的材料应采用文件格式还是纸质形式、接收材料的地址等）。因履行本条所述请求而产生的全部费用（如有），包括但不限于为发送数据而产生的打印、复印、邮费、快递费，由请求人承担，并须最迟在收到数据时或公司规定的期限内支付。

公司将依照法律规定处理个人数据主体的请求，并考虑个人数据主体的合法权益。但如个人数据主体撤回同意、要求删除数据和/或对任何或全部个人数据行使其他相关权利，从而影响公司向个人数据主体提供/维持产品、服务的能力或维持合同关系，则公司可根据个人数据主体请求的性质，考虑并决定不再继续向个人数据主体提供公司的产品、服务，或终止公司与个人数据主体之间的合同关系。个人数据主体依本规定实施的行为将被视为其单方面终止与公司之间的任何关系，并完全可能导致违反个人数据主体与公司之间的合同义务或承诺；同时，公司保留在此类情况下的合法权利和救济措施。因此，公司不对个人数据主体承担任何由此产生的损失责任，公司的合法权利将获得充分保留。公司将尽合理努力，在符合法律规定的期限内执行个人数据主体提出的合法、有效请求。但为保密目的，公司可要求个人数据主体在处理其请求前核实身份。

在某些情况下，公司有权拒绝执行个人数据主体的请求，包括但不限于：(i) 个人数据主体未按照公司指引的程序办理，包括请求内容缺少信息或无效；(ii) 个人数据主体未提供或未充分提供用于身份核实的文件、材料；或(iii) 公司评估认为存在欺诈、违反个人数据保护规定的迹象；或(iv) 法律规定不允许执行个人数据主体的请求。

10. 个人数据主体的义务

10.1. 自行保护个人数据；要求其他相关组织、个人保护其个人数据。发现个人数据存在错误、混淆、泄漏或怀疑个人数据正受到侵害时，及时通知公司。

10.2. 尊重、保护他人的个人数据。

10.3. 在同意处理个人数据时提供完整、准确的个人数据。如存在任何错误信息，并且该信息影响或限制个人数据主体的权益，个人数据主体应自行承担相关费用。

10.4. 遵守个人数据保护法律规定，参与防范、制止违反个人数据保护规定的行为。

10.5.法律规定的其他责任。

11. 其他规定

11.1. 个人数据主体确认，接受本政策即表示其已同意由公司以及本政策所述参与个人数据处理过程的组织、个人处理个人数据，并已明确知悉被处理的数据类型、数据处理目的、获准处理个人数据的组织和个人，以及其与个人数据有关的权利和义务。在个人数据由公司及参与个人数据处理过程的组织、个人处理之前，个人数据主体已获公司通知、已知悉并同意所有应予通知的内容。个人数据主体同意，公司及参与个人数据处理过程的组织、个人在处理个人数据前无需再次发出通知。

11.2. 如您对公司的个人数据保护有任何疑问，请联系我们，我们将尽快答复您的问题。您也可以通过以下地址联系我们：