データ違反通知手続き
第 I 部 – 目的、法的根拠および定義
条 1. 目的
1.1. 本手順は、個人データ侵害が発生した際の手順、期限、内容、および通知責任を規定し、HiTechCloudがベトナム法および適用される国際法に基づく通知義務のコンプライアンスを確保し、同時にデータ主体の合法的な権利および利益を保護することを目的とします。
1.2. 本手順は、個人データ保護方針（PDPD）第14条を具体化した文書であり、情報セキュリティインシデント対応手順（IR）と緊密に連携して運用されます。HiTechCloudがデータ管理者、データ管理者兼処理者、またはデータ処理者となるすべてのケースに適用されます。
条2. 法的根拠
- 個人データ保護法 2025(法律第 91/2025/QH15)、特に個人データ保護規定違反の通知に関する第 23 条。
- Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân, đặc biệt Điều 28 về thông báo vi phạm (Mẫu số 08) — thay thế Nghị định 356/2025/NĐ-CP kể từ 01/01/2026;
- サイバーセキュリティ法 2025（法律第 116/2025/QH15 号）; データ法 2024;
- 刑法2015年（2017年改正）；民法2015年による損害賠償に関する規定；
- GDPR（第 33、34 条）— 規定の対象範囲内のデータ主体に適用します。
第3条 「個人データ違反」の定義
3.1. 「個人データ侵害」とは、個人データ保護に関する規定に違反するインシデントを指し、個人データの紛失、不正アクセス、収集、開示、改ざん、複製、不正使用、または破棄等が含まれますがこれらに限定されず、データ主体の権利および合法的利益、国家安全保障、ならびに社会秩序および安全に影響を与える、または影響を与える可能性があるものをいいます。
第 II 部 – 検出、評価、分類
条 4. 検出および受け入れ
4.1. データ違反（侵害）は、監視システム（SIEM、DLP、IDS/IPS、EDR）、従業員による内部報告、顧客／データ主体からの報告、処理者／パートナーからの通知、管轄当局または第三者からの通知を通じて検出される場合があります。
4.2. 個人データ侵害の疑いが生じた場合は、直ちに DPO および インシデント対応チーム (CSIRT) へ報告する必要があります。 dpo@photuesoftware.com / report@photuesoftware.com. 72時間のカウントダウンは、違反が検出された時点から開始されます。
条 5. 評価および重大度分類
5.1. DPOはCSIRTと連携し、可能な限り速やかに以下を評価します: (a) 影響を受けるデータ種別（基本／機微）、(b) 影響を受ける主体の数、(c) 原因および範囲、(d) 主体に損害を与える可能性、(e) 適用された軽減策。
5.2. 重大度の分類:
| レベル | 特性 | 通知義務 |
|---|---|---|
| 深刻 | 機微データ（位置情報、生体認証、財務、法律違反行為）; 大規模なデータ主体; 高リスク | 72 時間以内に A05 とデータ主体に通知 |
| 平均 | 基本データ、中程度のリスク | 72 時間以内に A05 通知を実施;リスクが存在する場合はデータ主体に通知 |
| Low | 統制されており、実害発生の可能性がない状態 | 内部ファイルに記録；法律で定められた通知を実施 |
第 III 部 – 通知義務
第6条 専門機関への通知（A05）
6.1. 個人データ保護規定の違反を検出した場合、データ管理者またはデータ管理者・処理者は 遅くとも 72 時間以内に公安省（サイバーセキュリティ・ハイテク犯罪防止局 – A05）へ通知 違反を発見した時点から、2025年個人データ保護法第23条および政令356/2025/NĐ-CP第28条に基づき、使用し 様式08 政令に伴い発行される。
6.2. 72時間の期限後に通知する場合は、遅延／不完全な通知の理由を明記する必要があります。
第 7 条。通知の内容
7.1. 違反通知には最低限以下を含める必要があります：(a) 違反事案の性質、発生日時および場所の説明；(b) 影響を受けた個人データの種類および量；(c) 影響を受けたデータ主体の数（推定）；(d) DPO／連絡窓口の連絡先情報；(e) 発生し得る結果、損害および軽減措置；(f) デプロイ済みおよび今後デプロイ予定の是正措置。
7.2. 72 時間以内に完全な情報が提供できない場合、HiTechCloud は段階的に通知 (補足通知) を行い、進捗状況を明記します。
条8. データ主体への通知
8.1. 機微データ（特に位置データ、生体認証データ、財務データ）に関連する違反、または主体の権利・利益に高いリスクを及ぼす可能性のある違反について、HiTechCloud は発見時点から72時間以内に影響を受けるデータ主体へ通知するか、または公表を行い可能な限り速やかに主体へ送信します。
8.2. 主体への通知は明確で分かりやすい言語で作成され、違反の概要、影響を受けるデータ種別、発生し得る結果、HiTechCloudが実施した対策、および主体自身による保護のための推奨事項（パスワード変更、アカウント監視、詐欺への警戒）が含まれます。
条9. 管理者と処理者間の協力
9.1. HiTechCloud がデータ処理者として機能する場合 (例えば、顧客のデータベースをホストしている場合)、HiTechCloud は違反を発見した後、遅延なく顧客 (データ管理者) に通知し、データ管理者が法的通知義務を履行できるようにします。同時に HiTechCloud は必要な情報および証拠を提供することで協力します。
9.2. HiTechCloud がコントローラーである場合、HiTechCloud は A05 およびデータ主体に対する通知の主要な責任を負います。
第IV部 – ファイル、改善及び責任
条 10. 違反記録の作成および保持
10.1. すべてのデータ違反（広範な通知を要しない軽微なものを含む）は、記録を作成して保存しなければなりません。これには、事態の経緯、評価、通知の決定（または通知を行わない理由）、通知した内容、是正措置が含まれます。
10.2. 違反記録は保存されます 最低 05 年 是正完了日から、権限ある機関による説明責任および検査対応を支援します（2025年政令第356号第31条）。
条11. 是正と再発防止
11.1. 通知と並行して、HiTechCloud はインシデント対応（IR）プロセスに基づいて封じ込めと復旧の対策を実施し、情報セキュリティシステムセキュリティポリシーに従って予防対策を更新します。
条 12. 責任と制裁
12.1. 通知を怠った場合、通知が遅延した場合、または故意に通知を遅らせた場合は、行政違反とみなされ、規定に基づく補償責任および刑事責任とは別に、個人データ保護法2025第8条に従って処分される可能性があります（組織に対する罰則は、個人データ保護に関するその他の違反に対して最大30億ドン、データの越境移転の違反に対して前年度売上高の最大5%、データ売買に対して得られた収益の最大10倍）。
12.2. 本手順の実施責任は、DPO（主担当）、CSIRT（技術）、法務部門（法的審査）に属し、経営委員会の監督下にあります。
第V部 – 国際管轄区域および効力
第 13 条 GDPR および他の管轄区域での通知
13.1. EU/EEA のデータ主体のデータについて：GDPR 第33条に従い、監督当局に72時間以内に通知する；高リスクがある場合、GDPR 第34条に従い、データ主体に通知する。
13.2. 独自の通知要件を定める他の管轄域のデータ主体の場合: 該当する管轄域の規定に従ってコンプライアンスを遵守してください。
第 14 条 効力発生日
14.1. 本規定は 2026 年 7 月 1 日から効力を有し、12 ヶ月ごと、または法律変更時に最低限見直されます。ベトナム語版が最高の法的効力を有します。
