Cam Kết Bảo Vệ Dữ Liệu Cá Nhân
(Theo Nghị định số 13/2023/NĐ-CP của Chính phủ về bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 01 tháng 7 năm 2023)
Bản cam kết bảo vệ dữ liệu cá nhân này được lập và ký kết giữa Công ty TNHH Pico Thành phố Hồ Chí Minh và các đại lý/khách hàng/đối tác cung cấp dịch vụ cho Công ty TNHH Pico Thành phố Hồ Chí Minh (sau đây gọi chung là “Nhà Cung Cấp”).
Công ty TNHH Pico Thành phố Hồ Chí Minh và Nhà Cung Cấp cùng thỏa thuận tuân thủ các quy định về bảo vệ dữ liệu cá nhân theo các điều khoản sau đây:
Điều 1: Định nghĩa
“Hợp đồng” là thỏa thuận giữa Nhà Cung Cấp và Công ty TNHH Pico Thành phố Hồ Chí Minh, và/hoặc bất kỳ biên bản, thỏa thuận, phụ lục, hoặc phụ kiện nào liên quan đến các hợp đồng đó, bao gồm nhưng không giới hạn ở hợp đồng mua bán hàng hóa, hợp đồng cung cấp dịch vụ, hợp đồng lao động hoặc các loại hợp đồng khác.
“Dữ liệu cá nhân” là dữ liệu cá nhân của bất kỳ chủ thể dữ liệu nào mà Công ty TNHH Pico Thành phố Hồ Chí Minh nhận được từ Nhà Cung Cấp. Dữ liệu này có thể bao gồm dữ liệu cá nhân của chính Nhà Cung Cấp hoặc dữ liệu cá nhân của các cá nhân khác mà Nhà Cung Cấp đã thu thập hợp pháp và được phép chuyển giao cho Công ty TNHH Pico Thành phố Hồ Chí Minh nhằm phục vụ các mục đích quy định trong hợp đồng giữa hai bên.
“Luật Bảo vệ Dữ liệu” là toàn bộ các luật và quy định liên quan đến bảo vệ dữ liệu cá nhân hoặc quyền riêng tư áp dụng đối với việc xử lý dữ liệu cá nhân tại Việt Nam. Điều này bao gồm nhưng không giới hạn ở Luật An ninh quốc gia năm 2004, Luật An ninh mạng năm 2018, Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và bất kỳ sửa đổi hoặc bổ sung nào đối với các văn bản pháp luật này.
“Mạng lưới của Công ty TNHH Pico Thành phố Hồ Chí Minh” là hệ thống trung tâm dữ liệu, hệ thống điện toán đám mây, máy chủ, thiết bị mạng, hệ thống phần mềm và các hệ thống khác (nếu có) của Công ty TNHH Pico Thành phố Hồ Chí Minh được sử dụng để thực hiện phạm vi công việc theo hợp đồng giữa hai bên.
Các thuật ngữ “dữ liệu cá nhân”, “chủ thể dữ liệu”, “xử lý dữ liệu cá nhân”, “bên kiểm soát dữ liệu” và “bên kiểm soát và xử lý dữ liệu” được sử dụng trong Bản Cam Kết này sẽ được hiểu theo các định nghĩa tại Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.
Điều 2: Nội dung Bảo vệ Dữ liệu Cá nhân
1. Các bên thừa nhận và đồng ý như sau:
(i) Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ đóng vai trò là bên xử lý dữ liệu cá nhân theo quy định của Luật Bảo vệ Dữ liệu;
(ii) Nhà Cung Cấp sẽ là chủ thể dữ liệu, bên kiểm soát dữ liệu, hoặc đồng thời là bên kiểm soát và xử lý dữ liệu cá nhân theo Luật Bảo vệ Dữ liệu; và
(iii) Mỗi bên sẽ tuân thủ các nghĩa vụ tương ứng của mình theo quy định pháp luật hiện hành về bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu cá nhân.
2. Mục đích thu thập và xử lý dữ liệu:
Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ thu thập, lưu trữ và xử lý dữ liệu cá nhân khi cần thiết để thực hiện các nghĩa vụ theo hợp đồng đã ký kết với Nhà Cung Cấp và để thực hiện các công việc liên quan theo các điều khoản của hợp đồng.
Nhà Cung Cấp đồng ý cho phép Công ty TNHH Pico Thành phố Hồ Chí Minh xử lý dữ liệu cá nhân của Nhà Cung Cấp và chia sẻ kết quả của quá trình xử lý này cho các mục đích sau:
- Gửi thông báo liên quan đến các hoạt động trao đổi thông tin giữa Nhà Cung Cấp và Công ty TNHH Pico Thành phố Hồ Chí Minh;
- Ngăn chặn các hành vi như phá hoại tài khoản trái phép, truy cập trái phép vào tài khoản của Nhà Cung Cấp, hoặc mạo danh Nhà Cung Cấp;
- Tổ chức các hoạt động tiếp thị, nghiên cứu thị trường, khảo sát ý kiến và môi giới;
- Nghiên cứu và phát triển các dịch vụ mới và cung cấp các sản phẩm/dịch vụ phù hợp cho Nhà Cung Cấp;
- Phục vụ mục đích tiếp thị và quảng cáo theo quyết định của Công ty TNHH Pico Thành phố Hồ Chí Minh;
- Xác minh danh tính và đảm bảo an toàn thông tin cho Nhà Cung Cấp;
- Thu thập, lưu trữ và sử dụng dữ liệu cá nhân của Nhà Cung Cấp liên quan đến các dịch vụ như lưu trữ hồ sơ và tuân thủ nghĩa vụ pháp lý, thuế, với thời gian lưu trữ theo quy định pháp luật hiện hành;
- Thực hiện bất kỳ hành động nào khác theo yêu cầu của pháp luật.
Công ty TNHH Pico Thành phố Hồ Chí Minh cam kết không:
(a) Xử lý, lưu trữ, sử dụng hoặc tiết lộ dữ liệu cá nhân vượt quá phạm vi cần thiết để thực hiện nghĩa vụ hợp đồng hoặc theo quy định của pháp luật;
(b) Bán dữ liệu cá nhân cho bất kỳ bên thứ ba nào;
(c) Lưu trữ, sử dụng hoặc tiết lộ dữ liệu cá nhân ngoài phạm vi quan hệ kinh doanh trực tiếp giữa Công ty TNHH Pico Thành phố Hồ Chí Minh và Nhà Cung Cấp, trừ khi có sự đồng ý của chủ thể dữ liệu hoặc theo yêu cầu pháp lý áp dụng.
Để rõ ràng, các chỉ dẫn của Nhà Cung Cấp liên quan đến việc xử lý dữ liệu cá nhân phải tuân thủ theo các điều khoản của hợp đồng và hoàn toàn phù hợp với quy định của pháp luật về bảo vệ dữ liệu cá nhân. Nhà Cung Cấp chịu trách nhiệm về tính chính xác, chất lượng và tính hợp pháp của dữ liệu cá nhân cũng như phương thức mà Nhà Cung Cấp thu thập dữ liệu cá nhân đó.
Trong trường hợp Nhà Cung Cấp không phải là chủ thể dữ liệu, Nhà Cung Cấp xác nhận và đồng ý như sau:
(i) Nhà Cung Cấp đã thu thập được sự đồng ý rõ ràng (theo quy định của Luật Bảo vệ Dữ liệu) từ chủ thể dữ liệu đối với toàn bộ việc thu thập, chia sẻ và sử dụng dữ liệu như đã được thỏa thuận trong hợp đồng; và
(ii) Nhà Cung Cấp đã thông báo và nhận được sự đồng ý rõ ràng của chủ thể dữ liệu (theo quy định của Luật Bảo vệ Dữ liệu) về việc dữ liệu cá nhân có thể được xử lý bên ngoài quốc gia nơi dữ liệu được thu thập ban đầu.
Nếu Nhà Cung Cấp là bên kiểm soát và xử lý dữ liệu cá nhân, Nhà Cung Cấp cam kết rằng mọi chỉ dẫn và hành động liên quan đến dữ liệu cá nhân, bao gồm cả việc chỉ định Công ty TNHH Pico Thành phố Hồ Chí Minh làm đơn vị xử lý dữ liệu, đều đã được bên kiểm soát dữ liệu liên quan cho phép hợp pháp.
Công ty TNHH Pico Thành phố Hồ Chí Minh không có nghĩa vụ tuân theo hoặc thực hiện các chỉ dẫn của Nhà Cung Cấp nếu các chỉ dẫn đó vi phạm quy định của Luật Bảo vệ Dữ liệu.
3. Loại Dữ liệu Cá nhân được Bảo vệ:
Dữ liệu cá nhân được bảo vệ theo Bản Cam Kết này bao gồm các thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc định dạng tương tự trong môi trường điện tử có liên quan đến hoặc có khả năng xác định danh tính một cá nhân cụ thể. Thông tin này bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm như: họ tên, địa chỉ, số điện thoại, ngày sinh, email, nghề nghiệp, tình trạng sức khỏe, thu nhập hoặc bất kỳ thông tin nào khác được pháp luật quy định là dữ liệu cá nhân tại từng thời điểm.
4. Phương Thức Bảo Vệ Dữ Liệu Cá Nhân:
Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ thực hiện việc thu thập, phân tích, đánh giá, sử dụng, lưu trữ, chuyển giao, xử lý và cung cấp dữ liệu cá nhân cho các bên liên quan hoặc cơ quan có thẩm quyền khi cần thiết nhằm phục vụ các mục đích được nêu tại Điều 2 của Bản Cam Kết này.
5. Các Bên Liên Quan đến Việc Bảo Vệ Dữ Liệu Cá Nhân:
Nhà Cung Cấp đồng ý rằng, nhằm phục vụ cho các mục đích đã được nêu tại Điều 2, Công ty TNHH Pico Thành phố Hồ Chí Minh có thể tiết lộ dữ liệu cá nhân cho các công ty con và/hoặc đơn vị liên kết nếu cần thiết cho việc áp dụng và thực hiện các mục đích đó, với điều kiện các công ty con và/hoặc đơn vị liên kết này phải cam kết thực hiện các nghĩa vụ bảo vệ dữ liệu cá nhân tương đương theo Bản Cam Kết này.
6. Thời Hạn Bảo Vệ Dữ Liệu Cá Nhân:
Việc bảo vệ dữ liệu cá nhân sẽ bắt đầu từ thời điểm Công ty TNHH Pico Thành phố Hồ Chí Minh tiếp nhận dữ liệu cá nhân và sự đồng ý của Nhà Cung Cấp đối với việc xử lý dữ liệu đó. Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ duy trì việc xử lý dữ liệu cá nhân trong suốt thời hạn của hợp đồng và theo đúng quy định của pháp luật hiện hành.
7. Cam Kết của Công ty TNHH Pico Thành phố Hồ Chí Minh:
Công ty TNHH Pico Thành phố Hồ Chí Minh cam kết nỗ lực tối đa một cách hợp lý và cần thiết để bảo vệ và đảm bảo an toàn dữ liệu cá nhân theo quy định trong Bản Cam Kết này, phù hợp với các tiêu chuẩn về an toàn thông tin, bảo vệ dữ liệu cá nhân theo yêu cầu của pháp luật Việt Nam và các điều khoản tại Bản Cam Kết.
Trong quá trình xử lý dữ liệu cá nhân, có thể xảy ra gián đoạn, chậm trễ, ngắt kết nối hoặc các sự cố khác do các nguyên nhân nằm ngoài khả năng kiểm soát hợp lý của Công ty TNHH Pico Thành phố Hồ Chí Minh, bao gồm nhưng không giới hạn ở sự cố do quá trình nâng cấp, sửa chữa, lỗi truyền tải hoặc sự cố kỹ thuật phát sinh từ các nhà cung cấp/nhà thầu của Công ty TNHH Pico Thành phố Hồ Chí Minh. Trong những trường hợp như vậy, Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ nỗ lực thông báo kịp thời cho Nhà Cung Cấp về sự cố, và Nhà Cung Cấp đồng ý miễn trách nhiệm cho Công ty TNHH Pico Thành phố Hồ Chí Minh đối với các tình huống này.
Trường hợp xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân, Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ thông báo cho Nhà Cung Cấp trong thời gian sớm nhất sau khi phát hiện vi phạm. Ngoài ra, bên kiểm soát dữ liệu hoặc bên vừa kiểm soát vừa xử lý dữ liệu sẽ thực hiện việc thông báo tới Bộ Công an (Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao) trong thời hạn không quá 72 giờ kể từ khi sự cố vi phạm xảy ra.
Điều 3: Quyền và Nghĩa vụ của Chủ thể Dữ liệu
a. Quyền của Chủ thể Dữ liệu:
1. Được thông báo về các hoạt động xử lý dữ liệu cá nhân; đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân theo Bản Cam Kết này, trừ trường hợp pháp luật có quy định khác.
2. Có quyền truy cập, xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình, trừ khi pháp luật có quy định khác.
3. Rút lại sự đồng ý của mình, trừ khi pháp luật có quy định khác.
4. Xóa hoặc yêu cầu xóa dữ liệu cá nhân theo quy định tại Điều 4 của Bản Cam Kết này.
5. Yêu cầu hạn chế xử lý dữ liệu cá nhân, trừ khi pháp luật có quy định khác. Việc hạn chế xử lý dữ liệu sẽ được thực hiện trong vòng 72 giờ kể từ thời điểm nhận được yêu cầu của chủ thể dữ liệu, đối với toàn bộ dữ liệu cá nhân mà chủ thể yêu cầu hạn chế, trừ khi pháp luật có quy định khác.
6. Có quyền yêu cầu cung cấp dữ liệu cá nhân của chính mình, trừ khi pháp luật có quy định khác.
7. Phản đối việc xử lý dữ liệu cho mục đích ngăn chặn hoặc hạn chế việc tiết lộ dữ liệu cá nhân, hoặc sử dụng dữ liệu cho mục đích quảng cáo, tiếp thị, trừ khi pháp luật có quy định khác. Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ thực hiện yêu cầu của chủ thể dữ liệu trong vòng 72 giờ sau khi nhận được yêu cầu, trừ khi pháp luật có quy định khác.
8. Tự bảo vệ, khiếu nại, tố cáo, khởi kiện hoặc yêu cầu bồi thường thiệt hại theo quy định của pháp luật.
b. Nghĩa vụ của Chủ thể Dữ liệu:
1. Tự bảo vệ dữ liệu cá nhân của mình; yêu cầu các tổ chức, cá nhân liên quan bảo vệ dữ liệu cá nhân của mình.
2. Tôn trọng và bảo vệ dữ liệu cá nhân của người khác.
3. Cung cấp đầy đủ, chính xác dữ liệu cá nhân khi đồng ý cho phép xử lý dữ liệu cá nhân.
4. Tham gia vào việc nâng cao kỹ năng bảo vệ dữ liệu cá nhân.
5. Tuân thủ pháp luật về bảo vệ dữ liệu cá nhân và tham gia phòng ngừa, đấu tranh chống các hành vi vi phạm quy định bảo vệ dữ liệu cá nhân.
Điều 4: Việc Trả Lại và Xóa Dữ Liệu Cá Nhân
1. Trả lại hoặc xóa dữ liệu theo nội dung hợp đồng:
Tùy theo nội dung của hợp đồng, Nhà Cung Cấp có thể được cấp quyền kiểm soát để truy cập hoặc xóa dữ liệu cá nhân. Nếu Nhà Cung Cấp không có yêu cầu xóa dữ liệu, dữ liệu cá nhân sẽ được xóa trong vòng ba mươi (30) ngày sau khi hợp đồng chấm dứt, hoặc trong thời gian ngắn hơn nếu được quy định cụ thể trong hợp đồng. Trường hợp hợp đồng không quy định thời hạn xóa, Công ty TNHH Pico Thành phố Hồ Chí Minh sẽ áp dụng theo quy định nội bộ hiện hành tại thời điểm đó. Trong mọi trường hợp, Nhà Cung Cấp thừa nhận rằng trước khi hợp đồng kết thúc, họ có trách nhiệm xuất dữ liệu cá nhân mà mình muốn lưu giữ hoặc xóa các dữ liệu cá nhân không cần thiết sau khi hợp đồng kết thúc, nhằm đảm bảo tuân thủ pháp luật.
2. Các trường hợp không áp dụng việc xóa dữ liệu cá nhân:
Việc xóa dữ liệu sẽ không được thực hiện trong các trường hợp Nhà Cung Cấp yêu cầu giữ lại dữ liệu cá nhân, bao gồm:
a) Khi pháp luật cấm xóa dữ liệu;
b) Khi dữ liệu cá nhân được các cơ quan nhà nước có thẩm quyền xử lý theo chức năng, nhiệm vụ được pháp luật quy định;
c) Khi dữ liệu cá nhân đã được công khai theo quy định pháp luật;
d) Khi dữ liệu cá nhân được xử lý phục vụ mục đích nghiên cứu khoa học, thống kê hoặc mục đích hợp pháp khác theo quy định của pháp luật;
e) Trong tình huống khẩn cấp có nguy cơ đe dọa an ninh quốc gia, an toàn công cộng hoặc sức khỏe cộng đồng, hoặc khi có nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức công bố tình trạng khẩn cấp;
f) Khi cần phản ứng với tình huống khẩn cấp đe dọa tính mạng, sức khỏe hoặc sự an toàn của chủ thể dữ liệu hoặc người khác.
3. Việc trả lại hoặc xóa dữ liệu theo yêu cầu hoặc khi chấm dứt một phần hợp đồng:
Việc trả lại hoặc xóa dữ liệu cá nhân theo yêu cầu của Nhà Cung Cấp hoặc khi một phần của hợp đồng bị chấm dứt sẽ được thực hiện, với điều kiện là việc đó không ảnh hưởng tiêu cực đến khả năng cung cấp các dịch vụ còn lại của Công ty TNHH Pico Thành phố Hồ Chí Minh theo hợp đồng, và việc trả lại hoặc xóa dữ liệu không vi phạm các quy định của pháp luật về bảo vệ dữ liệu cá nhân cũng như các quy định pháp luật khác có liên quan.
Điều 5: Tuyên bố của Nhà Cung Cấp
1. Nhà Cung Cấp tự nguyện đồng ý và hoàn toàn hiểu rõ nội dung được quy định trong từng điều khoản của Bản Cam Kết này.
2. Trong trường hợp Nhà Cung Cấp là bên kiểm soát dữ liệu hoặc là bên vừa kiểm soát vừa xử lý dữ liệu cá nhân, Nhà Cung Cấp cam kết:
– Chủ thể dữ liệu đã được thông báo đầy đủ và đồng ý với nội dung thông báo xử lý dữ liệu cá nhân trước khi tiến hành bất kỳ hoạt động xử lý dữ liệu nào; và đã được thông báo rõ ràng các nội dung tại Điều 2 của Bản Cam Kết này trước khi đồng ý cho phép Nhà Cung Cấp thu thập dữ liệu cá nhân, phù hợp với Bản Cam Kết và Luật Bảo Vệ Dữ Liệu Cá Nhân.
– Đã thực hiện đánh giá tác động của việc xử lý dữ liệu cá nhân đối với dữ liệu cá nhân.
3. Nhà Cung Cấp cam kết bồi thường và giữ cho Công ty TNHH Pico Thành phố Hồ Chí Minh không bị thiệt hại trong trường hợp xảy ra bất kỳ tổn thất nào do Nhà Cung Cấp không tuân thủ các cam kết nêu tại điều khoản này.
Điều 6: Các Quy Định Chung
Bản Cam Kết này là một phần không thể tách rời của hợp đồng được ký kết giữa Nhà Cung Cấp và Công ty TNHH Pico Thành phố Hồ Chí Minh, trong đó Bản Cam Kết này được viện dẫn.
Trường hợp Công ty TNHH Pico Thành phố Hồ Chí Minh cung cấp dữ liệu cá nhân mà mình thu thập/đang lưu giữ cho Nhà Cung Cấp, thì Nhà Cung Cấp cam kết thực hiện việc bảo vệ dữ liệu cá nhân ở mức độ không thấp hơn mức độ bảo vệ mà Công ty TNHH Pico Thành phố Hồ Chí Minh đã cam kết trong tài liệu này.
Commitment to the Protection of Personal Data
(Under Decree No. 13/2023/ND-CP of the Government on Personal Data Protection, effective from July 1, 2023)
This commitment to the protection of personal data is made and entered into by and between Pico Ho Chi Minh City Ltd and the agents/customers/partners providing services to Pico Ho Chi Minh City Ltd (hereinafter collectively referred to as the "Supplier").
Pico Ho Chi Minh City Ltd and the Supplier mutually agree to comply with the provisions on personal data protection under the following terms:
Article 1: Definitions
"Contract" refers to the agreement between the Supplier and Pico Ho Chi Minh City Ltd, and/or any related minutes, agreements, annexes, or addenda associated with such contracts, including but not limited to contracts for the sale of goods, provision of services, labor contracts, or other types of contracts, among others.
"Personal Data" refers to the personal data of any data subject that Pico Ho Chi Minh City Ltd receives from the Supplier. This may include the Supplier's own personal data or the personal data of other individuals that the Supplier has lawfully collected and is authorized to transfer to Pico Ho Chi Minh City Ltd for the purposes outlined in the contract(s) between Pico Ho Chi Minh City Ltd and the Supplier.
"Data Protection Law" refers to all laws and regulations relating to personal data protection or privacy that apply to the processing of personal data within Vietnam. This includes, but is not limited to, the National Security Law of 2004, the Cybersecurity Law of 2018, Decree No. 13/2023/ND-CP on personal data protection, and any amendments or supplements to these laws and regulations.
"Pico Ho Chi Minh City Ltd's Network" refers to the data centers, cloud computing systems, servers, network devices, software systems, and other systems (if any) of Pico Ho Chi Minh City Ltd that are used to perform the scope of work outlined in the contract(s) between Pico Ho Chi Minh City Ltd and the Supplier.
The terms "personal data," "data subject," "personal data processing," "controller," and "controller and processor" as used in this Commitment shall have the meanings as defined in Decree No. 13/2023/ND-CP on personal data protection.
Article 2: Personal Data Protection Content
- The parties acknowledge and agree to the following: (i) Pico Ho Chi Minh City Ltd shall act as the personal data processor in accordance with the Data Protection Law; (ii) The Supplier shall be either the data subject, the data controller, or both the data controller and processor of the personal data under the Data Protection Law; and (iii) Each party shall comply with its respective obligations under the applicable Data Protection Law regarding the processing of personal data.
- Purpose of Data Collection and Processing:
Pico Ho Chi Minh City Ltd shall collect, store, and process personal data as necessary to perform the contract executed with the Supplier and to carry out related tasks in accordance with the terms of the contract.
The Supplier hereby agrees to permit Pico Ho Chi Minh City Ltd to process the Supplier's data and share the results of such processing for the following purposes:
- To send notifications regarding activities related to information exchange between the Supplier and Pico Ho Chi Minh City Ltd;
- To prevent activities such as unauthorized account destruction, unauthorized access to the Supplier’s account, or impersonation of the Supplier;
- To organize marketing, market research, polling, and brokerage activities;
- To research and develop new services and provide suitable products/services for the Supplier;
- For marketing and advertising purposes, as determined by Pico Ho Chi Minh City Ltd;
- To verify the identity and ensure the security of the Supplier's information;
- To collect, store, and use the Supplier's personal data in relation to services such as record keeping and compliance with legal and tax obligations, with such data being stored for the legally prescribed period;
- To perform any other actions as required by law.
Pico Ho Chi Minh City Ltd undertakes not to: (a) Process, store, use, or disclose personal data beyond what is necessary to fulfill contractual obligations or as mandated by law; (b) Sell personal data to any third party; (c) Store, use, or disclose personal data outside the direct business relationship between Pico Ho Chi Minh City Ltd and the Supplier, except where required by the data subject's consent or applicable legal requirements.
For clarity, the Supplier's instructions concerning the processing of personal data shall be in accordance with the terms of the contract and in full compliance with data protection laws. The Supplier is responsible for the accuracy, quality, and legality of the personal data and the methods by which the Supplier obtained the personal data. If the Supplier is not the data subject, the Supplier acknowledges and agrees as follows: (i) The Supplier has obtained explicit consent (under the Data Protection Law) from the data subject for all collection, sharing, and use of data as agreed upon in the contract; and (ii) The Supplier has informed and received the data subject's explicit consent (under the Data Protection Law) about the personal data being processed outside their original country. If the Supplier is the controller and processor of personal data, the Supplier ensures that all instructions and actions regarding personal data, including designating Pico Ho Chi Minh City Ltd as another processor, have been authorized by the relevant controller. Pico Ho Chi Minh City Ltd will not be required to comply with or follow the Supplier's instructions if those instructions violate the Data Protection Law.
- Types of Protected Personal Data: The personal data protected under this commitment refers to information in the form of symbols, written text, numbers, images, sounds, or similar formats in electronic environments associated with or identifiable to a specific individual, including basic personal data and sensitive personal data, such as: name, address, phone number, date of birth, email, occupation, health condition, income, or any other information that is legally defined as personal data at any given time.
- Commitment of Pico Ho Chi Minh City Ltd:
- Methods of Protecting Personal Data: Pico Ho Chi Minh City Ltd will collect, analyze, evaluate, use, store, transfer, process, and provide personal data to relevant parties or authorities as necessary for the purposes outlined in Article 2 of this Commitment.
- Parties Involved in Personal Data Protection: The Supplier agrees that, for the purposes specified in Article 2, Pico Ho Chi Minh City Ltd may disclose personal data to subsidiaries and/or affiliates as necessary for the application and implementation of these purposes, provided that such subsidiaries and/or affiliates commit to fulfilling equivalent obligations under this Commitment.
- Duration of Personal Data Protection: Personal data protection will begin when Pico Ho Chi Minh City Ltd receives personal data and the Supplier’s consent for the processing of that data. Pico Ho Chi Minh City Ltd will maintain the processing of personal data for the duration of the contract and in compliance with applicable law.
Pico Ho Chi Minh City Ltd commits to making every reasonable and necessary effort to protect and secure personal data as stipulated in this commitment, in accordance with the standards for information security, personal data protection as required by Vietnamese law and the provisions of this Commitment. During the processing of personal data, interruptions, delays, disconnections, or any issues may occur due to causes beyond the reasonable control of Pico Ho Chi Minh City Ltd, including but not limited to interruptions caused by upgrades, repairs, transmission errors, or technical failures caused by the suppliers/contractors of Pico Ho Chi Minh City Ltd. In such cases, Pico Ho Chi Minh City Ltd will make every effort to promptly inform the Supplier of the issue, and the Supplier agrees to exempt Pico Ho Chi Minh City Ltd from liability in such situations.
In case of a violation of personal data protection regulations, Pico Ho Chi Minh City Ltd will notify the Supplier as soon as possible after detecting the violation. Additionally, the data controller or controller and processor will notify the Ministry of Public Security (Cybersecurity Department and Anti-High-Tech Crime Police) no later than 72 hours after the violation occurs.
Article 3: Rights and Obligations of the Data Subject
a. Rights of the Data Subject:
- To be informed of personal data processing activities; agree or disagree with allowing personal data processing under this Commitment, unless otherwise required by law.
- Access to view, modify, or request modification of personal data, unless otherwise required by law.
- Withdraw consent, unless otherwise required by law.
- Delete or request the deletion of personal data according to the provisions of Article 4 of this Commitment.
- Request the restriction of personal data processing, unless otherwise required by law. Data processing restrictions will be implemented within 72 hours of the data subject's request, for all personal data the data subject requests to restrict, unless otherwise required by law.
- The data subject has the right to request their own personal data, unless otherwise required by law.
- Object to data processing for the purpose of preventing or limiting the disclosure of personal data or using it for advertising, marketing purposes, unless otherwise required by law. Pico Ho Chi Minh City Ltd will implement the data subject's request within 72 hours after receiving the request, unless otherwise required by law.
- Self-protect, lodge complaints, report, initiate lawsuits, or request compensation for damages according to the law.
b. Obligations of the Data Subject:
- Self-protect their personal data; request relevant organizations and individuals to protect their personal data.
- Respect and protect the personal data of others.
- Provide complete and accurate personal data when agreeing to allow personal data processing.
- Participate in promoting skills for personal data protection.
- Comply with the law on personal data protection and participate in preventing and combating violations of personal data protection regulations.
Article 4: Return and Deletion of Personal Data
- Depending on the content of the contract, the Supplier may be provided control rights to access or delete personal data. If there is no request to delete data from the Supplier, personal data will be deleted within thirty (30) days after the contract ends or a shorter period as specified in the contract. If no provision exists regarding the deletion period, Pico Ho Chi Minh City Ltd will apply its internal regulations at the time, and in any case, the Supplier acknowledges that before the contract ends, the Supplier is responsible for exporting any personal data they wish to retain or deleting all unnecessary personal data after the contract ends, ensuring compliance with the law.
- Data deletion will not apply in cases where the Supplier requests the retention of personal data:
a) When the law prohibits data deletion;
b) When personal data is processed by authorized state authorities for their operations as per the law;
c) When personal data has been publicly disclosed according to the law;
d) When personal data is processed for legal, scientific, or statistical purposes according to the law;
e) In the case of emergencies threatening national security, public safety, or public health, or when there is a threat to national security but does not yet warrant an emergency declaration;
f) In response to emergencies threatening the life, health, or safety of the data subject or others.
- The return or deletion of personal data at the Supplier’s request or upon partial contract termination will be carried out, provided that it does not adversely affect the ability of Pico Ho Chi Minh City Ltd to provide remaining services under the contract, and such return or deletion does not violate personal data protection laws and other applicable laws.
Article 5: Supplier's Declaration
- The Supplier voluntarily agrees and fully understands the content specified in each term of this Commitment.
- If the Supplier is the controller or the controller and processor of personal data, the Supplier ensures:
– The data subject has been fully informed and agrees with the content of the personal data processing notification before proceeding with any personal data processing activities; and the provisions in Article 2 of this Commitment before agreeing to allow the Supplier to collect personal data, in accordance with this Commitment and the Data Protection Law.
– Has conducted an impact assessment of personal data processing on the personal data.
- The Supplier guarantees and indemnifies Pico Ho Chi Minh City Ltd for any damages resulting from the Supplier’s failure to comply with the commitments outlined in this article.
Article 6: General Provisions
This Commitment is an integral part of the contract signed between the Supplier and Pico Ho Chi Minh City Ltd in which this Commitment is referenced. In case Pico Ho Chi Minh City Ltd provides personal data that it collects/holds for the Supplier, the Supplier commits to comply with a level of personal data protection not lower than the level of protection that Pico Ho Chi Minh City Ltd has committed to in this document.
