数据跨境传输规定
第1条. 法律依据与定义
1.1. 法律依据：
- 2025年《个人数据保护法》（第91/2025/QH15号法律，效力 01/01/2026）；
- 第356/2025/NĐ-CP号法令——规定个人数据处理、跨境转移和影响评估文档；
- 《2024数据法》（第60/2024/QH15号法律）——关于跨境数据转移和处理；
- 2025 年《网络安全法》（第 116/2025/QH15 号法律，效力自 01/7/2026 起——取代 2018 年《网络安全法》和 2015 年《网络信息安全法》）——关于数据存储与网络安全保障；
- 《电子交易法》2023；
- 《个人数据保护法》第 91/2025/QH15 号及第 356/2025/ND-CP 号法令（适用与第 91/2025 号法律不相抵触的部分）；
- GDPR (EU) 2016/679 第 V 章（第 44–49 条）；依据欧盟决议 2021/914 的 SCCs；PIPL（中国）2021（第 38–43 条）；APEC CBPR 框架——参考适用于相应管辖范围内的数据。
1.2. 本规定是对《个人数据保护政策》(PDPD) 第12条（数据跨境传输）和第13条（影响评估）的具体细化文件，且为《服务使用协议》的一部分。
1.3. 定义：
- “个人数据” (DLCN)： 根据 2025 年《个人数据保护法》，与特定个人相关联或有助于识别特定个人的信息；
- “数据跨境传输”： 境外组织/个人或位于越南领土以外的系统对越南公民个人数据的传输、提供、分享、存储或处理；
- “数据控制者 / 数据处理者”: 根据 PDPD 和 2025 年《个人数据保护法》中的定义；
- “个人数据出境影响评估档案”： 符合 2025 年《个人数据保护法》要求的记录；
- “TIA – Transfer Impact Assessment”: 根据 GDPR 要求进行数据迁移影响评估；
- “SCC – Standard Contractual Clauses”: 欧盟委员会批准的标准合同条款，用于向第三国进行数据迁移。
第2条. 根据越南法律进行数据迁移的条件和程序
2.1. 个人数据向国外转移的规定条件：
（a）数据主体已同意，法律另有规定的除外；
（b）存在数据处理协议（DPA）或与数据接收方具有约束力的数据保护条款；
（c）采取适当保护措施以维持数据保护水平；
(d) 数据迁移活动不得危害国家安全与公共利益；
(e) 在法定期限前或期限内制定个人数据处理或向国外转移的影响评估档案。
2.2. 准备和提交申请程序：
(a) HiTechCloud 编制 个人数据境外数据迁移影响评估档案 并提交 01 份正本给 网络安全与打击高科技犯罪部门（A05、公安部） — 个人数据保护专责机构 — 在《个人数据保护法》2025 和第 356/2025/NĐ-CP 号法令规定的期限内；
(b) 档案包括：数据类型说明、目的、接收国家/接收方、保护措施及风险评估；
(c) 档案予以存储，发生变更时予以更新，并按主管机关要求出示。
注意：个人数据保护的接收机构为A05 – 公安部，而非之前的信息安全监管机构。
2.3. 境内数据存储：
(a) 根据《网络安全法》2025及相关指导文件，部分类型的数据和部分企业须在越南境内进行数据存储；
(b) HiTechCloud 在越南境内保持越南公民重要数据的存储/备份方案，以便在适用时满足该要求；
(c) 存储时间依据专门法律的规定。
第 3 条. 国际数据迁移机制（适用于 GDPR 范围内的数据）
3.1. Standard Contractual Clauses (SCCs)：对于属于 GDPR（EU/EEA）管辖范围内的用户数据，HiTechCloud 依据欧盟第 2021/914 号决定适用 SCCs，根据各数据流中的具体角色包括 Module 1 (Controller → Controller)、Module 2 (Controller → Processor)、Module 3 (Processor → Processor) 及 Module 4 (Processor → Controller)。
3.2. Transfer Impact Assessment (TIA)：在每次向欧盟境外进行新的数据迁移前，HiTechCloud 均会执行 TIA：(a) 明确接收国法律及当地国家机关获取数据的可能性；(b) 对照欧盟标准评估实际保护水平（Schrems II 测试）；(c) 必要时采取补充措施（加密、匿名化）；(d) 编制 TIA 报告并保存至少 5 年；(e) 在法律发生变更或更换新服务提供商时进行重新审查。
3.3. 补充机制：跨国集团内部的 BCR (Binding Corporate Rules)；当接收国获得 EC 的等同性认可时优先采用 Adequacy Decision；临时 (ad-hoc) 情况下的具体同意；切身利益仅限用于健康和安全紧急情况。
第 4 条. 合作伙伴与接收国列表
| 合作伙伴 / 服务 | 国家 | 适用机制 | 数据类型 |
|---|---|---|---|
| Amazon Web Services | 美国/全球 | SCCs + DPA | Hosting 数据 |
| Google Cloud Platform | 美国/全球 | SCCs + DPA | 应用数据 |
| Microsoft Azure | 美国 / EU | SCCs + DPA | 企业数据 |
| Cloudflare | 美国/全球 | SCCs + DPA | Log, CDN |
| Stripe / PayPal | 美国 | SCCs + PCI DSS | 支付数据 |
| 其他服务提供商 | 按合同 | 逐案评估 | 视用途而定 |
该列表定期经过审查与更新。HiTechCloud 针对每个数据迁移流建立并维护相应的影响评估档案。
条 5。数据主体的权利
数据主体享有以下权利：(a) 获知数据被传输至境外的通知；(b) 拒绝或撤回对数据跨境传输的同意；(c) 要求提供适用的保护措施/DPA 的相关信息；(d) 发现违规行为时向网络安全与高科技犯罪预防局（公安部 A05）提出投诉；(e) 要求删除数据并终止数据跨境传输。行使权利依据 PDPD 第 7 条、第 8 条。
第6条。技术保护措施
传输加密（TLS 1.3 及以上）；静态存储加密（AES-256）；传输前尽可能对数据进行匿名化/假名化；接收方实施基于角色的访问控制（RBAC）；监控并记录所有数据跨境传输活动；对数据接收合作伙伴进行定期（年度）安全审计；符合 ISO/IEC 27001 标准。
第7条. 违规处理与制裁措施
7.1. 内部违规：依据内部规章进行劳动纪律处分，包括合同终止。
7.2. 行政违规：根据《个人数据保护法》2025 年第 8 条，违反个人数据跨境转移规定可能被罚款至 上一年度营收的 5% 组织的；对于属于GDPR范围的数据，罚款金额最高可达 2000 万 EUR 或全球营业额的 4% 以较高者为准。
7.3. 刑事违规：可能根据《2015 年刑法》（例如第 288 条关于非法发布或使用计算机网络、电信网络信息的犯罪）被追究刑事责任。
7.4. 损害赔偿：根据2015年《民法》和合同协议。
本规定自 01/07/2026 起生效，并取代此前所有版本。越南语版本具有最高法律效力。
