La politique de protection des données d'entreprise de FPT Software Company, Ltd. ("FPT Software" ci-après) énonce des exigences strictes pour le traitement des données personnelles relatives aux clients, partenaires, collaborateurs ou toute autre personne. Il répond aux exigences du Règlement européen sur la protection des données et garantit le respect des principes des lois nationales et internationales sur la protection des données en vigueur dans le monde entier. La politique établit une norme de protection et de sécurité des données applicable à l'échelle mondiale pour FPT Software et réglemente l’échange d'informations entre FPT Software, les filiales et les entités juridiques. FPT Software a établi des principes directeurs de protection des données - dont la transparence, l'économie et la sécurité des données – comme le Manuel de protection des données personnelles de FPT Software et la Code ISM.

Les responsables et les collaborateurs de FPT Software sont tenus de respecter la politique de protection des données de l'entreprise et leurs lois locales sur la protection des données. En tant que responsable global de la protection des données, il est de mon devoir de veiller à ce que les règles et principes de protection des données chez FPT Software soient respectés dans toutes les filiales dans le monde entier.

Je serai ravi de répondre à toutes vos questions sur la protection des données et le transfert international de données personnelles.

Michael Hering
Responsable global de la protection des données, [email protected], +84 902606236

Cette politique de protection des données s'applique dans le monde entier à FPT Software, aux filiales ainsi qu'aux entités juridiques. Elle est basée sur des principes de base acceptés globalement. Assurer la protection des données est le fondement de relations commerciales dignes de confiance et la réputation de FPT Software en tant qu'employeur de première classe.

La politique de protection des données fournit l'une des conditions-cadres nécessaires au transfert transfrontalier de données entre FPT Software, ses filiales et ses entités juridiques. Il garantit un niveau adéquat de protection des données ordonné par Règlement européen sur la protection des données, APPI, PDPA ou d'autres réglementations nationales sur la protection des données personnelles et les lois nationales pour la transmission transfrontalière de données, y compris vers des pays qui ne disposent pas encore d'une législation adéquate.

Afin de standardiser la collecte, le traitement, le transfert et l'utilisation des données personnelles ainsi que de promouvoir l'utilisation raisonnable, licite, juste et transparente pour éviter le vol, la modification, le dégât, la perte ou la fuite des données, FPT Software établit la politique de gestion de la protection des données personnelles et les politiques de sécurité des informations.

Voir Policy_PIMS Scope_v1.3

Cette politique de protection des données comprend les principes de confidentialité des données internationalement acceptés sans remplacer les lois nationales existantes. Il complète les lois nationales sur la protection des données. La législation nationale applicable prévaudra en cas de conflit avec la présente politique de protection des données ou si elle comporte des exigences plus strictes que la présente politique. Le contenu de cette politique de protection des données doit également être respecté en l'absence de législation nationale correspondante. Les exigences de déclaration pour le traitement des données en vertu des lois nationales doivent être respectées.

Chaque filiale ou entité juridique de FPT Software est responsable du respect de la présente Politique de Protection des Données et des obligations légales. S'il y a des raisons de croire que des obligations légales contredisent les devoirs en vertu de la présente politique de protection des données, la filiale ou l'entité juridique concernée doit en informer le responsable global de la protection des données. En cas de conflit entre la législation nationale et la politique de protection des données, FPT Software en personne, le responsable global de la protection des données, travaillera avec la filiale ou l'entité juridique concernée de FPT Software pour trouver une solution pratique répondant à l'objectif de la politique de protection des données.

Le Délégué mondial à la protection des données GDPO, relevant du membre du conseil d'administration responsable de la protection des données, CFO, supervise les fonctions de conformité et de réglementation de FPT Software, dans le but d'identifier, de réduire et de surveiller tous les domaines de risques réglementaires et de réputation possibles concernant le traitement des données personnelles.

Le manuel de protection des données personnelles (politiques, lignes directrices, procédures, modèles) est révisé et complété deux fois par an. Le GDPO coordonne toute révision ou supplément au manuel. Le GDPO et le CFO examinent et approuvent le manuel dans les plus brefs délais en cas de modification importante des lois. réglementations ou pratiques commerciales.

Le manuel de protection des données personnelles (politiques, lignes directrices, procédures, modèles) est publié sur le QMS de FPT Software, tous les employés ont accès au QMS. Les parties pertinentes du manuel sont distribuées rapidement en cas de modifications importantes dans le manuel. Les nouveaux employés sont informés du manuel et du système de gestion de la qualité. Ils sont tenus de consulter le manuel et de certifier qu'ils comprennent les dispositions pertinentes du manuel telles qu'elles s'appliquent à cet employé.

GDPO propose périodiquement des programmes de formation en ligne sur la protection des données personnelles sur la plateforme de formation en ligne d'e-campus FPT Software pour tenir les employés informés des évolutions réglementaires actuelles, des mises à jour des politiques et procédures et des exigences légales. Voir Policy_Personal Data Protection Training_v3.4.

Si une violation du manuel de protection des données personnelles (politiques, directives, procédures, modèles) se produit ou si une détermination préliminaire est faite qu'une violation a pu se produire, un rapport doit être adressé au GDPO et à la haute direction.

La haute direction doit imposer des sanctions adéquates aux employés qui enfreignent les politiques contenues dans le manuel. Les sanctions peuvent inclure tout ou partie des éléments suivants : une lettre de censure, une amende, une suspension temporaire d'emploi, un licenciement ou toute autre sanction jugée appropriée par la haute direction.

Principe 1 : Les données personnelles sont traitées de manière licite, juste et transparente vis-à-vis de la personne concernée (licéité, justice et transparence). La collecte, le traitement, le transfert et l'utilisation de données personnelles à des fins illégales ou d'opérations commerciales non administratives sont strictement interdits.

Principe 2 : Ne traiter que des données personnelles lorsque cela est strictement nécessaire à des fins légales et réglementaires, ou à des fins organisationnelles légitimes.

La collecte est uniquement possible pour des finalités déterminées, explicites et légitimes et non traitée d'une manière incompatible avec ces finalités (limitation des finalités).

Principe 3 : Ne traiter que les informations nécessaires. Adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité pour laquelle elles sont traitées (minimisation des données)..

FPT Software ne collectera, traitera, transférera et utilisera les données personnelles fournies par les parties que dans le cadre des lois, réglementations et exigences commerciales, et prendra les mesures appropriées et pertinentes pour traiter et utiliser les données personnelles dans le cadre nécessaire et raisonnable.

Principe 4 : Fournir des informations transparentes aux personnes concernées (y compris les enfants) sur la manière dont leurs informations personnelles sont utilisées et par qui.

Principe 5 : Garantir des dispositifs de sécurités particuliers en cas de collecte d'informations directement auprès d'enfants.

Principe 6 : Ne traiter que des informations personnelles pertinentes et adéquates. Exactes et, si nécessaire, tenues à jour ; toutes les mesures justes doivent être prises pour que les données à caractère personnel inexactes, au regard de la finalité pour laquelle elles sont traitées, soient effacées ou rectifiées sans délai (exactitude).

Principe 7 : Maintenir un inventaire de documentation des catégories d'informations personnelles traitées par FPT Software.

Principe 8 : Conserver les informations personnelles seulement aussi longtemps que nécessaire pour des raisons légales ou réglementaires ou à des fins organisationnelles légitimes et assurer une élimination rapide et appropriée (limitation de stockage).

Principe 9 : Respecter le droit de la personne concernée par rapport à ses informations personnelles.



Principe 10 : Traiter des données personnelles d'une manière qui assure une sécurité appropriée, y compris la protection contre le traitement non autorisé ou illégal et contre la perte, la destruction ou les dommages accidentels, en utilisant des mesures techniques ou organisationnelles appropriées. (Intégrité et confidentialité)

Principe 11 : Le RGPD et d'autres lois nationales et internationales limitent le transfert de données personnelles vers des pays, par exemple en dehors de l'EEE ou des pays concernés. Ces restrictions s'appliquent à tous les transferts, quelle que soit la taille du transfert ou la fréquence à laquelle vous les effectuez, à moins que les droits des personnes en question ne soient protégés d'une autre manière. Transférer des données personnelles uniquement si elles sont soumises à des « garanties appropriées », qui sont répertoriées dans le RGPD ou d'autres lois nationales et internationales.

Principe 12: Utiliser des dispositifs de sécurité appropriés sont les Clauses standards de protection des données adoptées par la Comité. Les clauses contiennent des obligations contractuelles pour l'exportateur et l'importateur de données, ainsi que des droits pour les détenteurs des données personnelles transférées. Les individus peuvent directement faire valoir ces droits contre l'importateur et l'exportateur de données. Les SCC doivent être utilisés dans leur intégralité et sans modification.

Principe 13 : Élaborer et implémenter un PIMS pour permettre l’implémentation de la politique PIMS.

Principe 14 : Identification des personnes/collaborateurs ayant une responsabilité et une obligation spécifiques pour le PIMS. Mise en place d'une gouvernance forte incluant un Responsable global de la protection des données.

Principe 15 : Sauvegarder des registres du traitement des informations personnelles.

Les collaborateurs de FPT Software qui ne respectent pas ces principes sont comdanés d'une amende sur la base des réglementations du contrat de travail.

Les données personnelles des clients et des fournisseurs (tiers) peuvent être traitées afin d'établir, d'exécuter et de résilier un contrat. Avant un contrat - pendant la phase précontractuelle - les données personnelles peuvent être traitées pour préparer des offres ou des bons de commande ou pour répondre à d'autres demandes liées à la conclusion du contrat. Les clients ou les fournisseurs peuvent être contactés pendant le processus de préparation du contrat en utilisant les informations qu'ils ont fournies. Toutes les restrictions demandées par les clients ou les fournisseurs doivent être respectées.

Le public – c’est-à-dire les clients, fournisseurs, ou toutes personnes concernées – doit avoir accès aux informations sur « Les principes et les activités de protection des données personnelles » de FPT Software (voir chapitre 4) et doit pouvoir communiquer facilement avec le Responsable global de la protection des données de FPT Software:

Michael Hering | Responsable global de la protection des données, directeur | FPT SOFTWARE

F-Town Bâtiment, Saigon Hi-Tech Park, Lot T2, rue D1, quartier Tan Phu, arrondissement Thu Duc, Hô-Chi-Minh ville, Vietnam

Cell: +84 90 2606236 | Tel: +84 (8) 3 736 2323 | Fax: +84 (8) 3 736 3333

URL: www.fptsoftware.com

La Politique de Protection des Données Personnelles doit être publiée sur www.fptsoftware.com. Les coordonnées du Responsable global de la protection sont disponible publiquement sur www.fptsoftware.com.

Les données peuvent être traitées après consentement de la personne concernée. Avant de donner son consentement, la personne concernée doit être informée conformément à la présente politique de protection des données. La déclaration de consentement doit être obtenue par écrit ou par voie électronique à des fins de documentation. Dans certaines circonstances, comme les conversations téléphoniques, le consentement peut être donné verbalement. L'octroi du consentement doit être documenté.

Le traitement des données personnelles est également autorisé si la législation nationale le demande, l'exige ou l'autorise. Le type et l'étendue du traitement des données doivent être légalement autorisée et conformes aux dispositions légales et statuaires.

Les données personnelles peuvent également être traitées si cela est nécessaire pour un intérêt légitime de FPT Software. Les intérêts légitimes sont généralement de nature juridique (par exemple, le recouvrement des créances impayées) ou commercial (par exemple, éviter les ruptures de contrat). Les données personnelles ne peuvent pas être traitées aux fins d'un intérêt légitime si, dans des cas individuels, il existe des preuves que les intérêts de la personne concernée méritent d'être protégés, et que cela a priorité. Avant le traitement des données, il est nécessaire de déterminer s'il existe des intérêts qui méritent d'être protégés.

Si des données personnelles sont collectées, traitées et utilisées sur des sites Web ou dans des applications, les personnes concernées doivent en être informées dans une déclaration de confidentialité et, le cas échéant, des informations sur les cookies. La déclaration de confidentialité et toute information sur les cookies doivent être intégrées de manière facilement identifiables, directement accessibles et constamment disponibles pour les sujets des données ultérieurs.

Si des profils (suivi) sont créés pour évaluer l'utilisation de sites Web et d'applications, les personnes concernées doivent toujours être informées en conséquence dans la déclaration de confidentialité.

Si des sites Web ou des applications peuvent accéder à des données personnelles dans une zone réservée aux utilisateurs enregistrés, l'identification et l'authentification de la personne concernée doivent offrir une protection suffisante lors de l'accès.

Toutes les mesures techniques actuellement prises, voir chapitre 4, Mesures techniques.

Dans les relations de travail, les données personnelles peuvent être traitées si nécessaire pour préparer, exécuter et résilier le contrat de travail. Lors de l'initiation d'une relation de travail, les données personnelles des candidats peuvent être traitées. Si le candidat n’est pas retenu, ses données doivent être supprimées dans le respect de la période de conservation requise, sauf son choix de conserver ses données dans la base pour un futur processus. Le consentement est également nécessaire pour utiliser les données pour d'autres processus de candidature ou avant de partager la candidature avec d'autres entités juridiques de FPT Software.

Dans la relation de travail existante, le traitement des données doit toujours servir au contrat de travail si aucune des circonstances suivantes pour le traitement autorisé des données ne s'applique.

Le respect des lois nationales correspondantes doit être assuré s’il est nécessaire de recueillir des informations sur un candidat auprès d'un tiers au cours de la procédure de candidature. En cas de doute, le consentement doit être obtenu auprès de la personne concernée.

Il faut une autorisation légale pour traiter des données personnelles liées à la relation de travail mais qui ne faisaient pas initialement partie de l'exécution du contrat. Cela comprend les exigences légales, les règlements collectifs avec les représentants des collaborateurs, le consentement du collaborateur ou l'intérêt légitime de l'entreprise.

Le traitement des données personnelles des collaborateurs est également autorisé si la législation nationale le demande, l'exige ou l'autorise. Le type et l'étendue du traitement des données doivent être légalement autorisée et conformes aux dispositions légales et statuaires. S'il existe une certaine flexibilité juridique, les intérêts du collaborateurs qui méritent d'être protégés doivent être pris en considération.

Si une activité de traitement de données dépasse les objectifs d'exécution d'un contrat, son autorisation peut se reconsidérer par une convention collective. Les conventions collectives sont des accords sur l’échelle salariale ou entre les employeurs et les représentants des salariés, dans le cadre autorisé par le droit du travail en vigueur. Les accords doivent couvrir l'objectif précis de l'activité de traitement de données envisagée et doivent être rédigés dans le cadre des paramètres de la législation nationale sur la protection des données.

Les données des collaborateurs peuvent être traitées avec le consentement de la personne concernée. Les déclarations de consentement doivent être soumises volontairement. Tout le consentement involontaire est nul. La déclaration de consentement doit être obtenue par écrit ou par voie électronique à des fins de documentation. Dans certaines circonstances, le consentement peut être donné verbalement, dans ce cas il doit être dûment documenté. En cas de fourniture volontaire et éclairée de données par la partie concernée, le consentement peut être présumé si les lois nationales n'exigent pas un consentement exprès. Avant de donner son consentement, la personne concernée doit être informée conformément à la présente politique de protection des données.

Les données personnelles peuvent également être traitées si cela est nécessaire pour faire valoir un intérêt légitime de FPT Software. Les intérêts légitimes sont généralement de nature juridique (par exemple, dépôt, exécution ou défense contre des actions en justice) ou financière (par exemple, évaluation d'entreprises).

Les données personnelles ne peuvent pas être traitées sur la base d'un intérêt légitime si, dans des cas individuels, il existe des preuves que les intérêts de l'employé méritent d'être protégés. Avant le traitement des données, il convient de déterminer s'il existe des intérêts qui méritent d'être protégés.

Les mesures de contrôle qui nécessitent le traitement des données des collaborateurs peuvent être prises seulement quand il existe une obligation légale de le faire ou il existe un motif légitime. Même ayant un motif légitime, la proportionnalité de la mesure de contrôle doit également être examinée. Les intérêts justifiés de l'entreprise dans l'exécution de la mesure de contrôle (par exemple, le respect des dispositions légales et des règles internes de l'entreprise) doivent être mis en balance avec les intérêts méritant protection que le collaborateur concerné par la mesure, peut avoir dans son exclusion et ne peut être exécuté que de manière appropriée. L'intérêt légitime de l'entreprise et tout intérêt du collaborateur méritant d'être protégé doivent être identifiés et documentés avant de prendre des measures. En outre, toute exigence supplémentaire prévue par la législation nationale (par exemple, les droits de cogestion pour les représentants des salariés et les droits d'information des personnes concernées) doit être prise en compte.

L'équipement téléphonique, les adresses e-mail, l'intranet et l'internet ainsi que les réseaux sociaux internes sont fournis par l'entreprise principalement pour des missions liées au travail. Ce sont des outils et des ressources de l'entreprise. Ils peuvent être utilisés dans le cadre des réglementations légales applicables et des politiques internes de l'entreprise. En cas d'utilisation autorisée à des fins privées, les lois sur le secret des télécommunications et les lois nationales pertinentes doivent être respectées, le cas échéant.

Il n'y aura pas de contrôle général des communications téléphoniques et e-mail ou de l'utilisation de l'intranet/internet. Pour se défendre contre les attaques contre l'infrastructure informatique ou contre les utilisateurs individuels, des mesures de protection peuvent être mises en place pour les connexions au réseau FPT Software qui bloquent les contenus techniquement nuisibles ou qui analysent les schémas d'attaque. Pour des raisons de sécurité, l'utilisation des équipements téléphoniques, des adresses e-mail, de l'intranet/internet et des réseaux sociaux internes doit être enregistrée temporairement. Les évaluations de ces données d'une personne spécifique ne peuvent être effectuées que dans un cas concret et justifié de violation présumée des lois ou des politiques de FPT Software. Les évaluations ne peuvent être conduites que par les services enquêteurs en veillant au respect du principe de proportionnalité. Les lois nationales en vigueur doivent être respectées. Les évaluations de ces données auprès d'une personne spécifique ne peuvent être effectuées que dans un cas concret et justifié de violation présumée des lois ou des politiques de FPT Software. Les évaluations peuvent être conduites par les services d’enquête en respectant le principe de proportionnalité. Les lois nationales en vigueur doivent être respectées.

Les demandes d'accès aux données personnelles d'un État/gouvernement ou d'une agence fédérale ou d'un autre organisme de réglementation sont traitées de la même manière et dans les mêmes conditions que le transfert international de données en suivant strictement les exigences de la loi nationale du pays concerné. Toutes les demandes d'accès sont enregistrées dans le registre des demandes d'accès. Toutes les demandes sont gérées par le GDPO et sont soumises à l'accord du membre du conseil d'administration de FPT Software responsable de la protection des données (CFO). Le GDPO est responsable de la communication avec l’État/le gouvernement ou une agence fédérale ou un autre organisme de réglementation. Le GDPO est responsable du registre des demandes d’accès.

Cette politique doit être revue et évaluée deux fois par an pour actualiser l'état le plus récent des normes internationales, des réglementations juridiques, des technologies et des entreprises, et pour garantir l'actualité des pratiques de gestion des données personnelles (voir Guideline_Personal Data Protection Policy Development_v2.4)

L'accès aux données nécessaires à l'exécution d’une tâche particulière est assuré au sein des systèmes et des applications par un concept de rôle et d'autorisation correspondant.

Le traitement des données personnelles doit être effectué de manière à ce qu'il ne soit pas possible de les relier à une personne spécifique sans l'utilisation d'informations supplémentaires. Ces informations supplémentaires doivent être stockées séparément et être protégées par des mesures techniques et organisationnelles appropriées. Voir Guideline_Pseudonymisation Minimisation and Encryption_v1.2

☒ Traitement pseudonyme (ou anonyme) des données

☒ Séparation du dossier de mission et stockage dans un système informatique séparé et sécurisé

FPT Software ne transfère les données personnelles à un tiers (comme des clients, des sous-traitants ou des prestataires de services) que s'il existe un contrat approprié et uniquement dans un but spécifique. Si des données personnelles sont transférées à des entreprises situées en dehors de l'UE/EEE ou du pays d'origine, FPT Software garantit qu'un niveau de protection adéquat des données est en place à l'endroit ou à l'organisation destinataire, conformément au Règlement européen sur la protection des données. Cela peut être réalisé en utilisant, par exemple, des contrats basés sur les clauses contractuelles types de l'UE.

Les entrées du système sont enregistrées sous forme de fichiers journaux, ce qui permet de vérifier ultérieurement si des données personnelles ont été saisies, modifiées ou supprimées, ainsi que l'identité de la personne responsable de ces actions.

Lorsque les données personnelles ne sont plus nécessaires aux fins pour lesquelles elles ont été traitées, elles sont supprimées sans délai. Cependant, il convient de noter qu'à chaque suppression, les données personnelles sont d'abord verrouillées temporairement avant d'être définitivement supprimées après un certain délai. Cette mesure est prise pour éviter les suppressions accidentelles ou les éventuels dommages intentionnels.

☒ Salles des serveurs équipées de climatisation

☒ Salles des serveurs équipées de prises de protection

☒ Salles des serveurs équipées d'extincteurs

☒ Sauvegardes stockées séparément dans un endroit sûr

☒ Plan d'urgence

☒ Plan de continuité d'activité

☒ Pas de salles des serveurs sous les sanitaires

☒ Sauvegardes régulières des fichiers de données

☒ Supervision du plan d'urgence

☐ Sinon, veuillez préciser:

☒ Compte de récupération, concept de sauvegarde et de récupération

☒ Test de récupération

☒ Supervision du plan d'urgence

Il correspond à la gestion des incidents en cas d'incidents de sécurité détectés ou suspectés resp. défaillance liée aux secteurs informatiques.

☒ Schéma de traitement pour la gestion des incidents

☒ Pratique en équipe des exercices réalistes

☒ Nomination et formation de l’équipe de sécurité

☐ Sinon, veuillez préciser:

☒ Respect de la confidentialité dès la conception / protection des données par des technologies appropriées

☒ Sélection de technologies améliorant la confidentialité pour les besoins ultérieurs

☒ Respect de la confidentialité par défaut / protection des données par des paramètres appropriés

☐ Sinon, veuillez préciser:

Aucun traitement de données ne peut être effectué sans une autorisation spécifique préalable de la part du responsable du traitement. Cela peut inclure des exigences contractuelles claires, une gestion formalisée des commandes, une sélection rigoureuse des prestataires, une obligation de vérification préalable et un suivi régulier par le biais d'inspections.

Les organes exécutifs de FPT Software, ainsi que ses filiales et entités juridiques, ont la responsabilité du traitement des données dans leurs domaines respectifs. En conséquence, ils doivent veiller au respect des exigences légales et de la politique de protection des données (notamment en ce qui concerne les obligations nationales de rapports). Les responsables de la FSU, les chefs de BO et les directeurs généraux d'une entité juridique sont chargés de mettre en place des mesures organisationnelles, techniques et de ressources humaines pour garantir que tout traitement de données se fasse en conformité avec les règles de protection des données.
Il est important que tous les employés concernés assument leur responsabilité dans le respect de ces exigences. En cas de contrôles externes sur la protection des données, le délégué mondiale à la protection des données doit être informé immédiatement.

Les responsables de la FSU, les chefs des OB ou les directeurs généraux d'une entité juridique ont l'obligation de désigner un représentant chargé de la protection des données et d'en informer le délégué à la protection des données. Ces représentants de la protection des données sont les personnes de contact au sein de chaque entité pour toutes les questions liées à la protection des données. Leur rôle consiste à effectuer des contrôles internes pour garantir la conformité avec les politiques de protection des données et à sensibiliser les employés à ces politiques. La direction concernée est tenue de soutenir le délégué à la protection des données et les représentants de la protection des données dans l'exécution de leurs missions. Il est également essentiel que les FSU, les OB ou les entités juridiques tiennent informés en temps utile les représentants de la protection des données de tout nouveau traitement de données à caractère personnel. Dans le cas de projets de traitement de données susceptibles de présenter des risques pour les droits individuels des personnes concernées, le délégué à la protection des données doit être prévenu avant le début du traitement. Cette exigence est particulièrement importante lorsqu'il s'agit de données personnelles extrêmement sensibles.De plus, il incombe aux responsables de veiller à ce que leurs employés reçoivent une formation adéquate en matière de protection des données. Une formation annuelle de sensibilisation assortie d'un examen doit être dispensée, et des formations approfondies doivent être fournies aux personnes occupant des postes clés tels que les PM, les DM et les responsables de BU.

Le traitement inapproprié de données à caractère personnel ou d'autres violations des lois sur la protection des données peuvent faire l'objet de poursuites pénales dans de nombreux pays et donner lieu à des demandes de dommages-intérêts. Les violations dont les employés sont responsables peuvent donner lieu à des sanctions en vertu du droit du travail.

Si vous ne comprenez pas les implications de cette politique ou la manière dont elle peut s'appliquer à vous, demandez conseil au GDPO par téléphone ou par courriel (Michael Hering, téléphone : +84902606236, courriel : [email protected]).

PDP livret V3.3 Politiques

Politiques:

• Policy_Personal Data Protection Training V1.4
• Policy_Privacy Statement_v1.3
• Policy_PIMS Scope_v1.3

• Guideline Personal Data Retention V3.4 
• Guideline Policy Development V2.4 
• Guideline Personal Data Protection Organization V3.4 
• Guideline Personal Data Protection Management Audit V2.4 
• Guideline Complaints and Appeals Handling V3.4 
• Guideline Data Breach Incident V3.4 
• Guideline Personal Data Inventory Management V3.4 
• Guideline Data Flow Mapping V2.4 
• Guideline Risk Management DPIA V2.4
• Guideline_Pseudonymisation Minimisation and Encryption_v1.4
• Guideline PII Classification and Rating V3.4

• Template_DS Consent Withdrawal Form_v1.3
• Template_retention schedule_V1.3
• Template_audit checklist short_V1.3
• Template_internal competence matrix_V1.3
• Template_privacy notice register_V1.3
• Template_DP Job Description and Responsibilities_v1.3
• Template_DPO Job Description_v1.3
• Template_DS request_incident_compliant_appeal_register-DP_V1.4
• Template_Rationale DPO_v1.3
• Template_Parental Consent Withdrawal Form_v1.3
• Template_Data Subject Right Request Form_v2.4
• Template_Parental Consent Form_v1.3
• Template_Data Subject Consent Form_v2.4
• Template Personal Data Processing Inventory V2.6
• Template Standard Contractual Clauses V2.4
• Template Personal Data Protection Exhibit V1.6
• Template risk management DPIA V3.4
• Checklist Before Engagement V3.4
• Template Data Processing Agreement V1.3
• Template_Non Conformance Report_v1.2
• Template_Internal Audit Report_v1.2
• Template_Internal Audit Schedule_v1.2
 

• Procedure_privacy_V1.3 
• Procedure_ds_access request_V1.3
• Procedure_complaints_V1.3 
• Procedure_consent withdrawal_V1.3 
• Procedure_consent_V1.3 
• Procedure_Data Protection Impact Assessment_V1.3 
• Procedure_Personal Data Breach Notification_V1.3 
• Procedure_communication_V1.3 
• Procedure_personal data transfer_V1.3 
• Procedure_data portability_V1.3 
• Procedure_third party service contracts_V1.3 
• Procedure_sub contracted processing_V1.3
• Procedure_competence_V1.3 
• Procedure_DP management review_V1.3 
• Procedure_Retention of Records_V1.3 
• Procedure_Continual Improvement_v1.2
• Procedure_Internal Audit_v1.2

• Record_DP contacts_V1.2
• Record_internal contracts_V1.2
• Record_authorities_Key-Supplier_V1.2 

Toute exception doit être examinée et approuvée par le Délégué Mondial à la Protection des Données (GDPO) et également validée par le membre responsable du conseil d'administration de FPT Software (CFO) / Directeur Général d'une filiale / Entité juridique.

Il n'existe pas de loi unique sur la protection des données au Vietnam. Les réglementations sur la protection des données et la vie privée se trouvent dans divers instruments juridiques. Le droit à la vie privée et le droit à la réputation, à la dignité et à l'honneur, ainsi que les principes fondamentaux de ces droits, sont actuellement protégés par la Constitution de 2013 et le Code Civil de 2015 en tant qu'inviolables et protégés par la loi.
Concernant les données personnelles, les principes directeurs sur la collecte, le stockage, l'utilisation, le traitement, la divulgation ou le transfert d'informations personnelles sont spécifiés dans les principales lois et documents suivants:

• Loi N°100/2015/QH13, adoptée par l'Assemblée nationale le 27 novembre 2015. Code Pénal
• Loi N°24/2018/QH14 sur la Cybersécurité, adoptée par l'Assemblée nationale le 12 juin 2018 (“Loi sur la Cybersécurité”);
• Loi N°86/2015/QH13 sur la Sécurité des Informations Réseau, adoptée par l'Assemblée nationale le 19 novembre 2015, modifiée par la Loi N°35/2018/QH14 datée du 20 novembre 2018, concernant les amendements à certains articles relatifs à la planification de 37 lois (“Loi sur la Sécurité des Informations Réseau”);
• Loi N°59/2010/QH12 sur la Protection des Droits des Consommateurs, adoptée par l'Assemblée nationale le 17 novembre 2010, modifiée par la Loi N°35/2018/QH14 datée du 20 novembre 2018, concernant les amendements à certains articles relatifs à la planification de 37 lois (“CRPL”);
• Loi N°67/2006/QH11 sur la Technologie de l'Information, adoptée par l'Assemblée nationale le 29 juin 2006, modifiée par la Loi N°21/2017/QH14 datée du 14 novembre 2017, concernant la planification (“Loi sur la Technologie de l'Information”);
• Loi N°51/2005/QH11 sur les Transactions Électroniques, adoptée par l'Assemblée nationale le 29 novembre 2005 (“Loi sur les Transactions Électroniques”);
• Décret N°85/2016/ND-CP daté du 1er juillet 2016, sur la sécurité des systèmes d'information par classification (“Décret 85”);
• Décret N°72/2013/ND-CP daté du 15 juillet 2013 du gouvernement, sur la gestion, la fourniture et l'utilisation des services Internet et des informations en ligne, modifié par le Décret N°27/2018/ND-CP daté du 1er mars 2018 et le Décret N°150/2018/ND-CP daté du 7 novembre 2018 (“Décret 72”);
• Décret N°52/2013/ND-CP daté du 16 mai 2013 du gouvernement, modifié par le Décret N°08/2018/ND-CP daté du 15 janvier 2018, sur les amendements à certains décrets relatifs aux conditions d'exploitation sous la gestion de l'État du ministère de l'Industrie et du Commerce et le Décret N°85/2021/ND-CP daté du 25 septembre 2021 (“Décret 52”);
• Décret No. 15/2020/ND-CP du gouvernement daté du 3 février 2020 sur les sanctions administratives en cas de violation des règlements sur les services postaux, les télécommunications, les fréquences radio, les technologies de l'information et les transactions électroniques (“Décret 15”);
• Circulaire N°03/2017/TT-BTTTT du Ministère de l'Information et des Communications datée du 24 avril 2017, fournissant des directives pour le Décret 85 (“Circulaire 03”);
• Circulaire N°20/2017/TT-BTTTT datée du 12 septembre 2017 du Ministère de l'Information et des Communications, prévoyant des réglementations sur la coordination et la réponse aux incidents de sécurité de l'information à l'échelle nationale (“Circulaire 20”);
• irculaire N°38/2016/TT-BTTTT datée du 26 décembre 2016 du Ministère de l'Information et des Communications, détaillant la fourniture transfrontalière d'informations publiques (“Circulaire 38”);
• Circulaire N°24/2015/TT-BTTTT datée du 18 août 2015 du Ministère de l'Information et des Communications, portant sur la gestion et l'utilisation des ressources Internet, modifiée par la Circulaire N°06/2019/TT-BTTTT datée du 19 juillet 2019 (“Circulaire 25”); et
• Décision N°05/2017/QD-TTg du Premier Ministre datée du 16 mars 2017 sur les plans d'intervention d'urgence visant à assurer la sécurité nationale de l'information cybernétique (“Décision 05” ).

L'applicabilité des documents juridiques dépendra du contexte factuel de chaque cas, par exemple, les entreprises des secteurs bancaire et financier, de l'éducation, de la santé peuvent être soumises à des réglementations spécialisées sur la protection des données, sans oublier les réglementations concernant les informations personnelles des employés telles que stipulées dans le Code du Travail 2019 (“Projet de Décret sur la Cybersécurité”).

Les documents juridiques vietnamiens les plus importants régissant la protection des données sont la Loi sur la Cybersécurité et la Loi sur la Sécurité des Informations Réseau. Comme les lois sur la cybersécurité dans d'autres juridictions qui ont été inspirées par le RGPD de l'UE, la Loi sur la Cybersécurité du Vietnam présente des similitudes avec la Loi sur la Cybersécurité de la Chine promulguée en 2017. La loi vise à donner au gouvernement la capacité de contrôler le flux d'informations. La Loi sur la Sécurité des Informations Réseau protège les droits de confidentialité des sujets de données individuelles.

Un projet de décret détaillant plusieurs articles de la Loi sur la Cybersécurité (“Projet de Décret sur la Cybersécurité”), ainsi qu'un projet de décret détaillant l'ordre et les procédures d'application de certaines mesures d'assurance de cybersécurité et un projet de décision du Premier Ministre promulguant une liste des systèmes d'information importants pour la sécurité nationale, sont en cours de préparation par le Ministère de la Sécurité Publique (MPS) en coordination avec d'autres ministères, agences ministérielles et organismes compétents.

Le MPS a rédigé un décret sur la protection des données personnelles (“DraftPDPD”), qui vise à consolider toutes les lois et réglementations sur la protection des données en une seule loi complète sur la protection des données, ainsi qu'à apporter des ajouts et des améliorations significatifs aux réglementations existantes. Le projet de loi sur la protection des données personnelles a été publié pour recueillir des commentaires publics en février 2021 et devait initialement entrer en vigueur en décembre 2021. Le processus de finalisation a pris beaucoup plus de temps que prévu par le MPS. Le projet de loi sur la protection des données personnelles pourrait être finalisé et entrer en vigueur fin 2022.