1. 总则
本《个人数据保护政策》（下称“本政策”）由Indochina Link Viet Nam Company Limited（ICLV）（税号：0314028165；会计服务经营资格证书 编号 157/KDKET，越南财政部）根据自2026年1月1日起生效的《个人数据保护法》（第91/2025/QH15号）（下称“《个人数据保护法》”），并依据第356/2025/ND-CP号议定的指导制定并发布。
本政策规范Indochina Link Viet Nam Company Limited对以下主体的个人数据的处理：
- 使用我们会计、税务、薪资和咨询服务的客户
- 作为我们服务交付（例如，薪资处理、个人所得税申报、工作许可证申请）的一部分，其数据被处理的客户公司员工
- 根据服务协议向我们提供其个人数据的第三方，且客户声明并保证该等数据是依法收集并已获得适当同意
- 通过联系表单或新闻订阅提交信息的网站访客。网站自身如何处理Cookie、分析和表单，见我们的隐私政策。
2. 定义
| 术语 | 定义 |
|---|---|
| 个人数据 | 能够识别或有助于识别特定自然人的数字数据或其他形式的信息，包括基本个人数据和敏感个人数据。经去标识化的数据不再属于个人数据（第91/2025/QH15号法第2.1条） |
| 基本个人数据 | 反映常见身份和背景要素的个人数据，依第356/2025/ND-CP号议定第3条列明，例如姓名、出生日期、性别、国籍、地址、电话号码、个人图像、身份证号码和护照号码 |
| 敏感个人数据 | 与个人隐私密切相关，一旦遭到侵犯将直接影响机关、组织、个人合法权益的个人数据（第91/2025/QH15号法第2.3条），依第356/2025/ND-CP号议定第4条列明，例如健康状况、生物识别数据、执法机关掌握的犯罪记录、身份证件图像、银行和财务信息、位置数据，以及网络服务使用行为的跟踪数据 |
| 数据控制者 | 决定个人数据处理目的和手段的实体 |
| 数据处理者 | 代表数据控制者处理个人数据的实体 |
3. 我们作为控制者和处理者的角色
在提供服务过程中，Indochina Link Viet Nam Company Limited扮演以下角色：
- 数据控制者：当我们为自身业务目的（例如，回复咨询、管理客户关系、招聘）直接从客户、网站访客和求职者处收集个人数据时
- 数据处理者：当我们代表客户处理员工个人数据时（例如，薪资处理、个人所得税申报、社保医保登记、工作许可证申请）
在作为数据处理者时，我们仅根据客户的指示和服务协议的条款处理个人数据。我们不会将客户员工数据用于自身目的。
4. 我们处理的个人数据类型
4.1 基本个人数据
- 全名（越南语及国际拼写）
- 出生日期、性别、国籍
- 身份证/护照/公民身份证号码
- 税号（TIN / MST）
- 社会保险号
- 电话号码和电子邮件地址
- 居住地址和户籍地址
- 雇佣信息（职位、部门、合同类型）
4.2 敏感个人数据
在提供会计、薪资和移民服务过程中，我们可能处理：
- 财务数据：薪资详情、银行账号、税款扣除、保险缴款
- 健康记录：体检结果（用于工作许可证申请）
- 犯罪记录：背景调查文件（用于工作许可证申请）
- 身份证件图像：为申请而提供的身份证、公民身份证图像
- 网络行为数据（网站访客）：来自Google Analytics 4和Microsoft Clarity的数据，仅在访客于Cookie横幅中接受“分析”后收集（见隐私政策）
为工作许可证和暂住证申请提交的个人照片，依第356/2025/ND-CP号议定属于基本个人数据，我们仍以同等审慎的方式处理。
敏感个人数据的处理以数据主体的同意为基础；在第91/2025/QH15号法第19条允许的情形下，无需同意，例如为履行协议或履行越南法律规定的义务。对于网站访客，收集网络行为数据的同意通过Cookie横幅取得。对于客户的员工，当ICLV作为数据处理者时，由作为数据控制者的客户决定处理目的，与数据主体沟通（包括在法律要求时取得同意，并告知相关数据属于敏感数据），并保障其权利。ICLV依据服务协议处理数据（见第14节）。
5. 数据处理目的
我们处理个人数据用于以下目的：
- 服务交付：会计、簿记、薪资、税务合规、审计支持和移民服务
- 法律合规：根据越南法律要求提交纳税申报表、社保医保申报表和法定报告
- 客户沟通：服务更新、法规咨询和回复问询
- 风险管理：利益冲突检查、反洗钱合规（第19/2023/ND-CP号议定）和内部质量控制
- 记录保存：审计追踪维护和争议解决
- 招聘：评估求职申请
当ICLV作为数据控制者时，我们依据数据主体的同意（例如在网站表单上勾选同意框），或第91/2025/QH15号法第19条规定的无需同意的情形，例如履行与数据主体的协议和履行越南法律规定的义务。当ICLV作为数据处理者时，我们为客户在服务协议中确定的目的处理数据。
网站联系和报价表单的数据仅用于答复请求和提供咨询。除非提交者订阅新闻通讯，否则我们不会将其用于营销，也不会出售或为广告目的与第三方共享。
6. 数据收集方法
我们通过以下方式收集个人数据：
- 客户通过委托书和服务协议直接提交
- 网站联系表单、报价表单和新闻订阅（姓名、电子邮件、电话、公司、服务和留言；报价表单另询问企业类型、行业、投资者人数、资本和附加服务；新闻订阅表单仅收集电子邮件）
- 电子邮件往来和电话沟通，包括发送至 career@indochinalink.com 的简历，仅用于招聘
- 从客户系统传输数据（薪资数据、员工记录）
- 公共登记处和政府数据库（用于验证目的）
7. 数据处理方法
- 手动处理：实体文件处理、会议和口头指示
- 自动处理：电子数据录入、薪资计算系统、会计软件以及通过政府门户网站进行电子申报
所有处理方法均遵守我们内部的访问控制。自动处理不涉及对数据主体产生法律影响的画像或自动化决策。
8. 数据保留
我们仅在实现处理目的所需的期间内保留个人数据：
| 文件类型 | 保留期限 | 依据 |
|---|---|---|
| 会计文件（发票、收据、日记账） | 至少5年 | 越南现行会计法规 |
| 财务报表和审计报告 | 至少10年 | 越南现行会计法规 |
| 纳税申报表及支持文件 | 至少10年 | 越南现行税务法规 |
| 薪资记录和社保医保文件 | 至少10年 | 越南现行税务和社会保险法规 |
| 劳动合同和劳动记录 | 终止后至少5年 | 越南现行劳动法规 |
| 网站联系和报价请求 | 自提交之日起最长36个月，之后自动删除 | ICLV政策 |
| 新闻通讯订阅 | 保留至订阅者取消订阅 | 同意 |
| 求职申请 | 保留至本轮招聘结束；如应聘者同意为日后职位保留简历，最长12个月 | 第91/2025/QH15号法第25条及与应聘者的约定 |
网站联系和报价请求在36个月后自动从数据库删除，备份按相同周期删除。如需取消订阅新闻通讯，请发送电子邮件至 info@indochinalink.com；我们将在第9节所列期限内处理。对于其他档案，适用保留期限届满后，除非法律要求继续处理，否则个人数据将被删除或匿名化。
9. 数据主体权利
依据《个人数据保护法》（91/2025/QH15）第4条，您有权：
- 了解您的个人数据的处理情况；
- 同意或不同意，并要求撤回同意；
- 查看、更正或要求更正您的个人数据；
- 要求提供、删除或限制处理您的个人数据，并提出反对处理的请求；
- 依法投诉、检举、提起诉讼和要求赔偿（可向公安部或其他主管机关投诉）；
- 要求主管机关或相关组织、个人采取措施保护您的个人数据。
如需行使上述权利，请将书面请求发送至info@indochinalink.com，写明姓名、联系方式、拟行使的权利及相关数据。我们可能要求进行身份验证。我们在收到有效请求后2个工作日内确认并答复，说明办理程序，随后按第356/2025/ND-CP号议定第5条规定的期限办理：
- 查看、更正或获取数据：10日。
- 撤回同意、限制或反对处理，或要求采取数据保护措施：15日。
- 删除数据：20日。
如需处理者或第三方配合，期限依该议定相应延长。我们可延长一次，延长期限依次不超过10日、15日或20日，并会说明理由。如因法律要求必须保留或其他正当理由而无法删除数据，我们会告知原因。
10. 数据安全措施
ICLV依据《个人数据保护法》采取适当的管理和技术措施，包括：
- 加密连接：HTTPS/TLS
- 机器人防护和频率限制：网站表单使用Cloudflare Turnstile，并限制表单提交频率
- 访问控制：基于角色的访问控制将数据可见性限制在被指派处理数据的人员范围内
- 基础设施：基础设施提供方（Cloudflare）按其标准对存储的数据加密
数据泄露通知
- ICLV作为数据控制者时（网站数据、求职者）：如发生第91/2025/QH15号法第23条要求报告的违规，我们将在发现后最迟72小时内通知个人数据保护专责机构，并在法律要求时告知数据主体。对于欧盟/欧洲经济区的数据主体，GDPR第33条（72小时内通知监管机构）和第34条（告知数据主体）同样适用。
- ICLV作为客户的数据处理者时：我们及时、不无故拖延地通知作为数据控制者的客户（第91/2025/QH15号法第23条；GDPR第33条第2款）。
11. 跨境数据传输
我们使用位于越南境外的服务提供方，因此在越南收集的个人数据会在境外处理或存储。ICLV依据《个人数据保护法》（91/2025/QH15）及第356/2025/ND-CP号议定履行与数据跨境传输相关的义务。服务提供方及其接收的数据如下：
- Cloudflare：托管网站表单后端和数据库（表单提交内容），提供Turnstile机器人验证，并分发网站内容。
- Telegram：内部通知渠道，接收联系请求（姓名、电子邮件、电话、公司、服务、留言、来源页面）和新闻订阅（电子邮件、来源页面）的内容。Telegram的服务器位于越南境外。
- Google：Google Analytics 4（仅在访客接受“分析”时）和Google地图（仅在访客点击加载地图时）。
- Microsoft：Microsoft Clarity（仅在访客接受“分析”时）和Microsoft 365电子邮件。
如因服务需要向客户的海外母公司或其他接收方传输数据，我们将依同一法律办理，包括告知数据主体该传输，并在法律要求时取得其同意。
12. 欧盟/欧洲经济区数据 (GDPR)
如果我们的服务涉及源自欧盟 (EU) 或欧洲经济区 (EEA) 的个人数据，欧盟第2016/679号条例 (GDPR) 适用。对于位于欧盟/欧洲经济区的网站访客，法律依据、权利、数据传输安排和投诉权见隐私政策第9节。此外：
- 合法性基础： 处理依据GDPR第6条第1款进行 (同意、合同或订立合同前的步骤、法定义务，以及就安全和防止滥用而言的合法利益)。
- 处理者保障： 当作为GDPR第28条下的数据处理者时，我们按照客户的书面指示处理数据，并保存处理记录。
- 监管机构投诉权： 欧盟数据主体有权向监管机构提出投诉 (第77条)。
13. 其他数据保护法律
如果您适用其他数据保护法律，请通过第17节所列地址与我们联系。
14. 客户义务
在向Indochina Link Viet Nam Company Limited提供个人数据时，客户有义务：
- 确保提供的所有个人数据均依法收集并已获得适当同意
- 告知数据主体，其数据将共享给Indochina Link Viet Nam Company Limited用于服务交付
- 确保提供的个人数据的准确性和完整性
- 遵守其自身在《个人数据保护法》（91/2025/QH15）及适用的国际法律下的义务
15. 本政策的变更
本政策可能会更新，以反映越南法律或我们数据处理实践的变化。重大变更将发布在本页，并通过我们的常规咨询渠道告知客户。本页顶部的“最后更新”日期反映了最近的修订。
16. 管辖法律与争议解决
本政策受越南社会主义共和国法律管辖，包括《个人数据保护法》（第91/2025/QH15号）。因本政策引起的争议应通过协商解决，协商不成的，提交越南胡志明市有管辖权的法院裁决。
17. 联系信息 (个人数据保护联络部门)
如有关于本政策的任何问题、数据主体请求或隐私咨询：
- 公司： Indochina Link Viet Nam Company Limited (ICLV)
- 注册地址： 3rd Floor, An Phu Plaza Building, 117-119 Ly Chinh Thang Street, Xuan Hoa Ward, Ho Chi Minh City
- 电子邮箱： info@indochinalink.com
- 电话： +84-28-2246-8007
- 税号： 0314028165
- 响应时限： 我们在收到有效请求后2个工作日内确认并答复；办理期限见第9节。