Phụ lục xử lý dữ liệu

Phụ lục này áp dụng khi cơ sở lưu trú ("Khách hàng") dùng TravelOpen để xử lý dữ liệu cá nhân của khách lưu trú và nhân sự của mình. Phụ lục là một phần không tách rời của Điều khoản dịch vụ.

Đây là tài liệu mà bộ phận pháp chế của Khách hàng thường yêu cầu trước khi ký hợp đồng. Khách hàng cần bản ký đóng dấu, liên hệ business@travelopen.ai.

1. Vai trò của các bên

Khách hàng là Bên Kiểm soát dữ liệu cá nhân: quyết định xử lý dữ liệu gì, vì mục đích gì.

B.Army là Bên Xử lý dữ liệu cá nhân: chỉ xử lý theo chỉ dẫn của Khách hàng, được thể hiện qua hợp đồng và qua cách Khách hàng cấu hình hệ thống.

Chúng tôi không dùng dữ liệu cá nhân của Khách hàng cho mục đích riêng, không bán, và không dùng để huấn luyện mô hình AI dùng chung cho các khách hàng khác.

2. Phạm vi xử lý

Đối tượng dữ liệu: khách lưu trú, người đặt phòng, nhân sự của Khách hàng có tài khoản trên hệ thống.

Loại dữ liệu: họ tên, quốc tịch, ngày sinh, số giấy tờ tuỳ thân (CCCD/hộ chiếu), email, số điện thoại, địa chỉ, lịch sử đặt phòng và lưu trú, thông tin thanh toán ở mức không lưu số thẻ đầy đủ, nội dung trao đổi với khách.

Mục đích: vận hành nghiệp vụ lưu trú — nhận đặt phòng, nhận phòng và trả phòng, đồng bộ kênh bán, xuất hoá đơn, chăm sóc khách, báo cáo cho Khách hàng, và các nghĩa vụ khai báo lưu trú theo pháp luật.

Thời gian: trong suốt thời hạn hợp đồng, cộng 30 ngày sau khi chấm dứt.

3. Nghĩa vụ của B.Army

Chúng tôi cam kết:

1. Chỉ xử lý dữ liệu theo chỉ dẫn bằng văn bản của Khách hàng, trừ khi pháp luật yêu cầu khác — trong trường hợp đó chúng tôi thông báo cho Khách hàng trước khi xử lý, nếu pháp luật không cấm việc thông báo.
2. Áp dụng biện pháp kỹ thuật và tổ chức phù hợp: mã hoá khi truyền và khi lưu trữ, phân quyền theo vai trò, nhật ký kiểm toán đầy đủ, sao lưu định kỳ.
3. Ràng buộc nghĩa vụ bảo mật với mọi nhân sự có quyền truy cập dữ liệu.
4. Hỗ trợ Khách hàng đáp ứng yêu cầu của chủ thể dữ liệu trong vòng 72 giờ kể từ khi nhận được yêu cầu từ Khách hàng.
5. Hỗ trợ Khách hàng lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Nghị định 13/2023/NĐ-CP, bằng cách cung cấp mô tả kỹ thuật về luồng dữ liệu trong hệ thống.
6. Thông báo cho Khách hàng trong vòng 24 giờ kể từ khi phát hiện sự cố lộ lọt dữ liệu, kèm phạm vi ảnh hưởng và biện pháp khắc phục, để Khách hàng kịp thực hiện nghĩa vụ thông báo với cơ quan có thẩm quyền.
7. Xoá hoặc trả lại dữ liệu khi kết thúc hợp đồng, theo lựa chọn của Khách hàng.

4. Nghĩa vụ của Khách hàng

Khách hàng bảo đảm có cơ sở pháp lý hợp lệ để thu thập và chuyển dữ liệu cho chúng tôi xử lý, bao gồm việc lấy sự đồng ý của chủ thể dữ liệu khi pháp luật yêu cầu.

Khách hàng chịu trách nhiệm cấu hình phạm vi hoạt động của tác nhân AI ở mức phù hợp với chính sách nội bộ của mình, và rà soát nhật ký kiểm toán định kỳ.

5. Bên Xử lý phụ

Chúng tôi sử dụng các Bên Xử lý phụ sau, đã được ràng buộc nghĩa vụ bảo vệ dữ liệu tương đương:

Trước khi bổ sung hoặc thay thế Bên Xử lý phụ, chúng tôi thông báo cho Khách hàng trước ít nhất 30 ngày. Khách hàng có quyền phản đối bằng văn bản; nếu hai bên không đạt được giải pháp, Khách hàng có quyền chấm dứt hợp đồng mà không chịu phí phạt.

6. Chuyển dữ liệu ra nước ngoài

Việc chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài được thực hiện theo Nghị định 13/2023/NĐ-CP. Chúng tôi lập và lưu Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, và cung cấp bản sao cho Khách hàng khi được yêu cầu.

7. Kiểm tra và chứng minh tuân thủ

Chúng tôi cung cấp cho Khách hàng tài liệu mô tả biện pháp bảo mật, cấu hình phân quyền, và bản trích xuất nhật ký kiểm toán liên quan tới dữ liệu của Khách hàng khi được yêu cầu hợp lý, tối đa mỗi 12 tháng một lần, trừ khi có sự cố bảo mật.

8. Liên hệ

Mọi vấn đề liên quan tới bảo vệ dữ liệu cá nhân: support@travelopen.ai.