データの越境移転規定
条 1. 法的根拠および定義
1.1. 法的根拠:
- 個人データ保護法 2025（法律第 91/2025/QH15、2026年 1月 1日 効力）;
- 政令 356/2025/NĐ-CP — 個人データの処理、国外へのデータ移行、および影響評価書類に関する規定;
- 2024年データ法律（法律第60/2024/QH15号）— 国境を越えたデータ移転および処理について;
- サイバーセキュリティ法 2025 (法律第 116/2025/QH15、2026 年 7 月 1 日効力発生 — サイバーセキュリティ法 2018 およびネットワーク情報セキュリティ法 2015 に置き換わる) — データストレージおよびサイバーセキュリティ保証に関する;
- 電子取引法 2023;
- 個人データ保護法91/2025/QH15および政令356/2025/ND-CP（法律91/2025に抵触しない範囲で適用）;
- GDPR (EU) 2016/679、第 V 章 (第 44～49 条)、EU 決定 2021/914 に基づく SCC、PIPL (中国) 2021 (第 38～43 条)、APEC CBPR フレームワーク — 対応する規制対象データに参照により適用。
1.2. 本規定は個人データ保護方針(PDPD)第 12 条(データの越境移転)および第 13 条(影響評価)を詳細化するものであり、利用規約の一部です。
1.3. 定義:
- 「個人データ」(DLCN)： 個人データ保護法 2025 に基づいて、特定の個人を識別する、または識別を支援する情報。
- “データの越境移転”: ベトナム国外の組織・個人による、またはベトナム国外に設置されたシステム上における、ベトナム国民の個人データ（DLCN）の転送、提供、共有、ストレージへの保存、または処理；
- 「データ管理者／データ処理者」: PDPD および個人データ保護法 2025で定義される通り;
- 「個人情報の国外移転影響評価ファイル」: 2025年個人データ保護法の要件に基づく記録;
- “TIA – Transfer Impact Assessment”: GDPR の要件に従ったデータ移行の影響評価;
- “SCC – Standard Contractual Clauses”: EU データを第三国に移転する際に EC 承認の標準契約条項を適用する契約条件です。
条2. ベトナム法に基づくデータ移行の条件および手続き
2.1. 個人データの国外移転条件:
（a）データ主体の同意がある場合。ただし法律に別途規定がある場合を除きます。
（b）データ処理合意（DPA）またはデータ保護条項が受信者と拘束力を持つ契約がある。
(c) データ保護レベルを維持するために適切なセーフガードを適用します。
(d) データ移行は国家安全保障または公益を損なわないこと；
(e) 法律で定められた期限前または期限内に、個人データの処理または国外への転送に関するインパクト評価ドキュメントを作成してください。
2.2. 書類作成および応募手続き:
（a）HiTechCloudは作成します 個人データを海外に移行する際の影響評価ファイル。 および正本 1 部を送信する サイバーセキュリティ・ハイテク犯罪防止局 (A05、公安省) — 個人データ保護を担当する当局 — は、個人データ保護法 2025 および政令 356/2025/NĐ-CP に定められた期限内に対応します。
(b) 申請書類の内容：データ種別の説明、目的、受領国／受領者、保護措置、およびリスク評価；
(c) ホストは保存され、変更が生じた場合に更新され、権限を有する機関の要求時に提出されます。
注意: 個人データ保護に関する申請の受付窓口は、A05 – 公安省(Bộ Công an)です。以前の情報セキュリティ規制機関ではありません。
2.3. 国内データストレージ:
(a) サイバーセキュリティ法 2025 およびその実施文書に基づき、特定のデータ分類および特定の企業は、ベトナムでのデータ保存が義務付けられています。
(b)HiTechCloud は、該当する場合、本要件を満たすため、ベトナム国民の重要なデータをベトナム国内に保存およびバックアップする体制を維持しています;
(c) 業界特定法律に定められた保持期間。
条 3. 国際データ移行メカニズム (GDPR 適用範囲内のデータに対して)
3.1. Standard Contractual Clauses (SCCs): GDPR (EU/EEA) の対象となるユーザーデータに対し、HiTechCloudはEU決定 2021/914に基づくSCCsを適用し、各データフローにおける役割に応じてModule 1 (Controller → Controller)、Module 2 (Controller → Processor)、Module 3 (Processor → Processor)、Module 4 (Processor → Controller) を含みます。
3.2. 転送影響評価（Transfer Impact Assessment: TIA）：EU域外への新たなデータ移行のたびに、HiTechCloudはTIAを実施します。(a) 受領国の法律および現地の国家機関によるアクセスの可能性を特定する、(b) EU基準と比較した実際の保護水準を評価する（Schrems IIテスト）、(c) 必要に応じて補足措置（暗号化、匿名化）を適用する、(d) TIAレポートを作成し最低5年間保管する、(e) 法改正があった場合または新たなサービス提供者へ移行した際に見直しを行う。
3.3. 補足メカニズム：多国籍企業グループ内でのBCR（Binding Corporate Rules）；受領国がECによって同等性を認められている場合のAdequacy Decisionの優先；アドホックなケースにおける具体的な同意；健康や安全に関する緊急事態のみに限定される重大な利益。
条 4. パートナーおよび受信国のリスト
| パートナー / サービス | 国 | 適用方法 | データ型 |
|---|---|---|---|
| Amazon Web Services | アメリカ合衆国 / グローバル | SCCs + DPA | Hosting データ |
| Google Cloud Platform | アメリカ合衆国 / グローバル | SCCs + DPA | アプリケーションデータ |
| Microsoft Azure | 米国 / EU | SCCs + DPA | 企業データ |
| Cloudflare | アメリカ合衆国 / グローバル | SCCs + DPA | Log, CDN |
| Stripe / PayPal | 米国 | SCCs + PCI DSS | 支払いデータ |
| その他のサービス提供者 | 契約に基づき | ケースバイケースの評価 | 目的により異なる |
このリストは定期的に見直され、更新されています。HiTechCloud は各チャネルのデータ移行に対応する影響評価記録を作成し、維持しています。
条5. データ主体の権利
データ主体には以下の権利があります。(a) データが国外に移転されることについての通知を受ける権利、(b) データの越境移転に対する同意を拒絶または撤回する権利、(c) 適用される保護措置／DPAに関する情報を要求する権利、(d) 違反を発見した場合にサイバーセキュリティ・ハイテク犯罪防止局（公安省A05）に苦情を申し立てる権利、(e) データの削除およびデータの越境移転の停止を要求する権利。権利の行使は、PDPD第7条および第8条に基づきます。
第6条 技術的保護措置
転送時の暗号化（TLS 1.3 以上）；保存時の暗号化（AES-256）；可能な場合は転送前におけるデータの匿名化／仮名化；受領側におけるロールベースアクセス制御（RBAC）；すべてのデータの国外移転アクティビティの監視およびログ記録；データ受領パートナーに対する定期的な（年次）セキュリティ監査；ISO/IEC 27001 規格への準拠。
条 7. 違反および制裁
7.1. 内部違反: 内部規定に基づく懲戒処分。契約の終了を含む。
7.2. 行政罰：個人データ保護法2025年第8条に基づき、個人データの国際転送規定に違反する場合、最大以下の罰金が科せられる可能性があります 前年度売上の5% 組織の; GDPR の適用範囲となるデータについては、罰金額は最大で 2,000万EURまたは全世界売上高の4% いずれか高い方。
7.3. 刑事違反: 2015 年刑法（例：コンピュータネットワークおよび通信ネットワークに違法に情報を投稿または使用する罪に関する第 288 条）に基づいて起訴される可能性があります。
7.4. 損害賠償：2015年民法およびサービス契約に基づきます。
本規定は 2026 年 7 月 1 日から有効となり、すべての前版を置き換えます。ベトナム語版が法的効力を有します。
