Chính sách bảo mật

Chính sách Quyền riêng tư này giải thích cách chúng tôi thu thập, sử dụng, lưu trữ và chia sẻ thông tin cá nhân của bạn khi bạn truy cập thienyhue.com hoặc book.thienyhue.com, hoặc khi bạn lưu trú tại Thiên Ý — Biệt thự & Khách sạn Kinh thành Huế ("Cơ sở").

Chúng tôi tuân thủ GDPR của Liên minh Châu Âu, Nghị định 13/2023/NĐ-CP về Bảo vệ Dữ liệu Cá nhân của Việt Nam, và Pháp lệnh Dữ liệu Cá nhân của Hồng Kông.

1. Ai chịu trách nhiệm về dữ liệu của bạn

Công ty TNHH Thương Mại và Đầu tư LOR ("LOR", "Đơn vị vận hành", "chúng tôi") — công ty trách nhiệm hữu hạn đăng ký tại Việt Nam — là bên kiểm soát duy nhất đối với dữ liệu cá nhân của bạn, bao gồm dữ liệu đặt phòng, dữ liệu tại cơ sở (đăng ký danh tính với cơ quan chức năng Việt Nam, dịch vụ trong kỳ lưu trú, yêu cầu concierge), và thông tin tiếp thị.

Đối với khách thanh toán bằng thẻ quốc tế, Sen Hong Invest Limited (Hồng Kông, Số đăng ký doanh nghiệp 3030113, Số đăng ký kinh doanh 72803905, văn phòng đăng ký tại Phòng 2105, Tầng 21, Tòa nhà Chung Kiu Commercial Building, 47–51 Đường Shantung, Mongkok, Kowloon, Hồng Kông) hỗ trợ xử lý dữ liệu thanh toán thẻ của bạn với vai trò đối tác dịch vụ thanh toán, theo chỉ thị của chúng tôi và chỉ nhằm mục đích xử lý thanh toán. Đây không phải là một bên kiểm soát dữ liệu độc lập. Cả LOR và Sen Hong Invest Limited đều không có quyền truy cập vào số thẻ đầy đủ hoặc các thông tin thanh toán nhạy cảm khác của bạn — những dữ liệu này được xử lý trực tiếp bởi đơn vị xử lý thanh toán của chúng tôi, Stripe, theo hình thức mã hóa tiêu chuẩn ngành (xem mục 9).

Mọi câu hỏi về bảo vệ dữ liệu: contact@thienyhue.com.

2. Dữ liệu chúng tôi thu thập

2.1 Dữ liệu bạn cung cấp khi đặt phòng

• Họ tên đầy đủ, ngày sinh, quốc tịch
• Thông tin liên lạc: email, số điện thoại, địa chỉ
• Loại, số và ngày hết hạn của giấy tờ tùy thân (hộ chiếu, căn cước, giấy phép lái xe)
• Loại thị thực và ngày nhập cảnh (đối với khách nước ngoài)
• Thông tin thẻ thanh toán (do đơn vị xử lý thanh toán của chúng tôi xử lý — xem Mục 5)
• Yêu cầu đặc biệt, sở thích ăn uống, dị ứng
• Tên và độ tuổi của những người đi cùng (nếu có)

2.2 Dữ liệu chúng tôi thu thập trong kỳ lưu trú

• Thời điểm nhận phòng và trả phòng
• Các khoản phí ghi vào hóa đơn phòng (phòng, đồ ăn thức uống, dịch vụ concierge)
• Ảnh chụp với sự đồng ý của bạn để phục vụ tiếp thị (chúng tôi luôn hỏi trước)
• Mọi báo cáo sự cố liên quan đến Cơ sở

2.3 Dữ liệu chúng tôi thu thập tự động khi bạn truy cập Trang web

• Địa chỉ IP, loại trình duyệt, thiết bị, hệ điều hành
• Các trang đã xem, thời gian xem, trang web dẫn đến
• Cookie và các công nghệ tương tự — xem Mục 8

2.4 Dữ liệu chúng tôi nhận từ bên thứ ba

• Dữ liệu từ nền tảng đặt phòng (nếu bạn đặt qua các OTA như Booking.com hoặc Agoda)
• Số liệu phân tích tiếp thị từ Google Analytics (khi có sự đồng ý của bạn)
• Dữ liệu xác nhận thanh toán từ Stripe (đơn vị xử lý thẻ của chúng tôi)

3. Mục đích thu thập và cơ sở pháp lý

Mục đích	Cơ sở pháp lý (GDPR)
Xử lý đặt phòng và cung cấp dịch vụ lưu trú	Thực hiện hợp đồng (Điều 6.1.b)
Xử lý tiền đặt cọc và các khoản thanh toán theo giai đoạn bằng thẻ	Thực hiện hợp đồng (Điều 6.1.b)
Khai báo lưu trú với cơ quan chức năng Việt Nam	Nghĩa vụ pháp lý (Điều 6.1.c — pháp luật Việt Nam về cư trú)
Phát hành hóa đơn VAT và lưu trữ sổ sách kế toán	Nghĩa vụ pháp lý (Điều 6.1.c — pháp luật thuế Việt Nam)
Liên lạc với bạn về đặt phòng	Thực hiện hợp đồng (Điều 6.1.b)
Gửi email tiếp thị (sau kỳ lưu trú)	Sự đồng ý (Điều 6.1.a) — bạn có thể hủy đăng ký bất cứ lúc nào
Cá nhân hóa kỳ lưu trú (ăn uống, ngày kỷ niệm…)	Sự đồng ý (Điều 6.1.a)
Phân tích lưu lượng Trang web để cải thiện dịch vụ	Lợi ích hợp pháp (Điều 6.1.f), kèm sự đồng ý đối với cookie
Phòng chống gian lận và xử lý khiếu nại hoàn tiền thẻ (chargeback)	Lợi ích hợp pháp (Điều 6.1.f)

Đối với dữ liệu thuộc phạm vi Nghị định 13/2023/NĐ-CP của Việt Nam, các cơ sở pháp lý tương đương (thực hiện hợp đồng, nghĩa vụ pháp lý, sự đồng ý và lợi ích hợp pháp) được áp dụng.

4. Thời gian chúng tôi lưu giữ dữ liệu

Loại dữ liệu	Thời gian lưu giữ
Hồ sơ đặt phòng và lưu trú	5 năm (pháp luật thuế và thương mại Việt Nam)
Bản sao giấy tờ tùy thân	5 năm (pháp luật Việt Nam về kinh doanh lưu trú)
Dữ liệu thanh toán thẻ	Chỉ do đơn vị xử lý thanh toán lưu giữ, theo quy định lưu giữ của họ
Danh sách email tiếp thị	Cho đến khi bạn hủy đăng ký, sau đó tối đa 30 ngày để xác nhận việc hủy
Phân tích trang web	14 tháng (mặc định của Google Analytics)
Thư từ qua email	3 năm kể từ lần liên hệ cuối
Báo cáo sự cố	5 năm

Sau các thời hạn này, dữ liệu được xóa an toàn hoặc ẩn danh hóa.

5. Chúng tôi chia sẻ dữ liệu với ai

Chúng tôi không bán dữ liệu cá nhân của bạn. Chúng tôi chỉ chia sẻ dữ liệu với các nhóm bên nhận sau, và chỉ trong phạm vi cần thiết:

• Stripe Inc. (Hoa Kỳ và Hồng Kông) — đơn vị xử lý thanh toán thẻ cho các đặt phòng quốc tế. Stripe đạt chứng nhận PCI-DSS Cấp 1, tiêu chuẩn cao nhất của ngành. Xem Chính sách quyền riêng tư của Stripe.
• Currenxie (Hồng Kông) — đối tác ngân hàng nhận tiền thanh toán thẻ từ Stripe.
• BIDV và Vietinbank (Việt Nam) — các ngân hàng nội địa nhận tiền chuyển khoản của chúng tôi.
• Cơ quan công an Việt Nam — để khai báo lưu trú theo quy định của pháp luật Việt Nam đối với mọi khách lưu trú.
• Cơ quan thuế Việt Nam — để phát hành hóa đơn VAT và kê khai thuế.
• Các nền tảng đặt phòng (OTA) — chỉ khi bạn đặt qua họ, và chỉ những dữ liệu cần thiết để thực hiện đặt phòng đó.
• Dịch vụ dịch thuật — công cụ dịch mã nguồn mở (Argos Translate) chạy trên máy chủ của chính chúng tôi; tin nhắn của bạn không được gửi đến các dịch vụ dịch thuật của bên thứ ba.
• Nhà cung cấp dịch vụ email và SMS — để gửi xác nhận đặt phòng và các thông tin vận hành.
• Cố vấn chuyên môn — kế toán, kiểm toán viên và luật sư, theo nghĩa vụ bảo mật nghiêm ngặt, chỉ khi cần thiết.

Chúng tôi không bao giờ bán, cho thuê hoặc trao đổi dữ liệu cá nhân của bạn với bất kỳ bên thứ ba nào cho mục đích tiếp thị của họ.

6. Chuyển dữ liệu quốc tế

Do đối tác dịch vụ thanh toán của chúng tôi, Sen Hong Invest Limited, ở Hồng Kông, và đơn vị xử lý thanh toán Stripe hoạt động trên phạm vi quốc tế, dữ liệu thanh toán thẻ của bạn có thể được chuyển giữa Hồng Kông, Việt Nam và Khu vực Kinh tế Châu Âu hoặc các khu vực tài phán khác nơi Stripe hoạt động.

Đối với việc chuyển dữ liệu từ Khu vực Kinh tế Châu Âu, chúng tôi dựa vào:

• Các Điều khoản Hợp đồng Tiêu chuẩn được Ủy ban Châu Âu phê duyệt, khi áp dụng; và
• Cơ chế tương thích giữa Hồng Kông và EU, khi áp dụng; và
• Đối với dữ liệu cung cấp cho cơ quan chức năng Việt Nam theo nghĩa vụ pháp lý, ngoại lệ tại Điều 49(1)(d) GDPR.

7. Quyền của bạn

Bạn có các quyền sau đối với dữ liệu cá nhân của mình (tùy theo các ngoại lệ tại địa phương, đặc biệt là dữ liệu thuộc nghĩa vụ pháp lý tại Việt Nam):

• Quyền truy cập — yêu cầu bản sao dữ liệu chúng tôi lưu giữ về bạn
• Quyền chỉnh sửa — yêu cầu chúng tôi sửa dữ liệu không chính xác
• Quyền xóa (“quyền được lãng quên”) — yêu cầu chúng tôi xóa dữ liệu, tùy theo yêu cầu lưu giữ theo luật định
• Quyền hạn chế xử lý — yêu cầu chúng tôi ngừng xử lý dữ liệu trong một số trường hợp
• Quyền về tính di động dữ liệu — nhận dữ liệu ở định dạng có cấu trúc, máy có thể đọc được
• Quyền phản đối — phản đối việc xử lý dựa trên lợi ích hợp pháp, đặc biệt là tiếp thị
• Quyền rút lại sự đồng ý — bất cứ lúc nào, đối với việc xử lý dựa trên sự đồng ý
• Quyền khiếu nại — với cơ quan bảo vệ dữ liệu có liên quan (cơ quan quốc gia của bạn trong EU, Ủy viên Quyền riêng tư Hồng Kông, hoặc Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao — Bộ Công an Việt Nam)

Để thực hiện bất kỳ quyền nào, vui lòng gửi email đến contact@thienyhue.com. Chúng tôi sẽ phản hồi trong vòng 30 ngày.

8. Cookie và các công nghệ tương tự

Chúng tôi sử dụng cookie trên Trang web để Trang web hoạt động, ghi nhớ lựa chọn của bạn và hiểu cách khách sử dụng Trang web. Cookie là một tệp văn bản nhỏ được lưu trên thiết bị của bạn.

8.1 Các loại cookie chúng tôi sử dụng

• Cookie thiết yếu — cần thiết để Trang web hoạt động (phiên truy cập, bảo mật, ngôn ngữ, giỏ đặt phòng). Không cần sự đồng ý.
• Cookie chức năng — ghi nhớ lựa chọn của bạn (đơn vị tiền tệ, các biệt thự đã xem gần đây). Cần sự đồng ý.
• Cookie phân tích — Google Analytics, giúp chúng tôi hiểu lưu lượng truy cập và cải thiện Trang web. Cần sự đồng ý.
• Thống kê lượt truy cập không dùng cookie — bộ đếm lượt truy cập riêng (Umami), chạy trên máy chủ của chính chúng tôi và không chia sẻ với bất kỳ ai. Bộ đếm ghi nhận trang được xem, trang web dẫn đến, quốc gia và loại thiết bị, không dùng cookie và không lưu địa chỉ IP hay bất kỳ mã định danh nào, vì vậy không cần sự đồng ý. Bộ đếm không được tải khi trình duyệt bật “Do Not Track”.
• Cookie tiếp thị — hiện không sử dụng. Nếu sau này sử dụng, chúng tôi sẽ cập nhật Chính sách này và xin sự đồng ý của bạn.

8.2 Quản lý lựa chọn cookie

Khi truy cập Trang web lần đầu, bạn sẽ thấy thông báo cookie cho phép chấp nhận tất cả cookie, chỉ chấp nhận cookie thiết yếu, hoặc tùy chỉnh lựa chọn. Bạn có thể thay đổi lựa chọn bất cứ lúc nào bằng cách nhấp vào “Cài đặt cookie” ở chân trang của bất kỳ trang nào.

Bạn cũng có thể quản lý cookie qua cài đặt trình duyệt — xem trang trợ giúp của trình duyệt để biết cách thực hiện.

8.3 Do Not Track

Chúng tôi tôn trọng cài đặt “Do Not Track” của trình duyệt khi khả thi về mặt kỹ thuật. Khi DNT được bật, chúng tôi không tải cookie phân tích hoặc tiếp thị, kể cả khi trước đó bạn đã đồng ý.

9. Bảo mật

Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức thích hợp để bảo vệ dữ liệu của bạn, bao gồm:

• Mã hóa dữ liệu khi truyền (HTTPS / TLS) trên mọi trang web và dịch vụ nội bộ
• Sao lưu cơ sở dữ liệu được mã hóa
• Kiểm soát truy cập nghiêm ngặt: chỉ nhân viên được ủy quyền, cần dữ liệu cho công việc, mới được truy cập
• Mã hóa dữ liệu thẻ (tokenisation) qua Stripe — chúng tôi không bao giờ thấy số thẻ đầy đủ của bạn
• Cập nhật phần mềm và bản vá bảo mật thường xuyên
• Giám sát lỗ hổng bảo mật của hạ tầng
• Đào tạo nhân viên về bảo vệ dữ liệu và bảo mật thông tin

Trong trường hợp hiếm hoi xảy ra sự cố rò rỉ ảnh hưởng đến dữ liệu cá nhân của bạn, chúng tôi sẽ thông báo cho bạn và cơ quan có thẩm quyền trong vòng 72 giờ kể từ khi phát hiện, theo yêu cầu của GDPR và pháp luật Việt Nam.

10. Trẻ em

Dịch vụ của chúng tôi không hướng đến trẻ em dưới 16 tuổi. Chúng tôi không cố ý thu thập dữ liệu cá nhân từ trẻ em. Trẻ em có thể lưu trú tại Cơ sở trong khuôn khổ đặt phòng gia đình; khi đó, dữ liệu của trẻ được xử lý như một phần của đặt phòng của cha mẹ hoặc người giám hộ, và chỉ những thông tin tối thiểu theo quy định pháp luật (họ tên, tuổi, giấy tờ tùy thân nếu có) được thu thập.

11. Thay đổi Chính sách này

Chúng tôi có thể cập nhật Chính sách này theo thời gian. Ngày “Cập nhật lần cuối” ở đầu trang thể hiện phiên bản hiện hành. Những thay đổi quan trọng sẽ được thông báo qua email nếu bạn có đặt phòng đang hiệu lực hoặc có trong danh sách nhận tin của chúng tôi.

12. Liên hệ và khiếu nại

Mọi câu hỏi, yêu cầu hoặc khiếu nại về quyền riêng tư:

• Email: contact@thienyhue.com
• Cơ sở: Thiên Ý — Biệt thự & Khách sạn Kinh thành Huế, 20/Kiệt 31 Nguyễn Thiện Thuật, Huế, Việt Nam

Về các kênh, quy trình và thời hạn cụ thể mà chúng tôi áp dụng để tiếp nhận và giải quyết yêu cầu hoặc khiếu nại liên quan đến quyền riêng tư, xem trang Phản hồi & Khiếu nại. Nếu không hài lòng với phản hồi của chúng tôi, bạn cũng có quyền khiếu nại với cơ quan bảo vệ dữ liệu tại nơi bạn sinh sống.