1. Chính sách này được ban hành nhằm quy định việc thu thập, xử lý, lưu trữ, sử dụng, bảo vệ và chia sẻ dữ liệu cá nhân của khách hàng khi sử dụng dịch vụ của Công ty TNHH Hàng không Mặt Trời Phú Quốc (“Công ty”, “Sun PhuQuoc Airways”).

2. Chính sách này áp dụng cho toàn bộ hành khách, khách hàng, đối tác, thành viên chương trình khách hàng thường xuyên và mọi cá nhân có dữ liệu cá nhân được Công ty xử lý trong quá trình cung cấp dịch vụ hàng không.

3. Chính sách này có hiệu lực thi hành trên toàn bộ hệ thống của Công ty, bao gồm website, ứng dụng di động, phòng vé, đại lý và các kênh giao dịch điện tử khác.

Trong Chính sách này, các thuật ngữ được hiểu như sau:

1. Dữ liệu cá nhân: thông tin dưới dạng ký hiệu, chữ viết, số, hình ảnh, âm thanh hoặc dữ liệu điện tử khác có khả năng xác định một cá nhân cụ thể.

2. Dữ liệu cá nhân cơ bản: thông tin định danh, thông tin liên hệ, thông tin đặt chỗ, thông tin thanh toán.

3. Dữ liệu cá nhân nhạy cảm: thông tin sức khỏe, dữ liệu sinh trắc học, thông tin tài chính, niềm tin tôn giáo, vị trí địa lý, dữ liệu liên quan đến trẻ em.

4. Chủ thể dữ liệu: cá nhân mà dữ liệu cá nhân phản ánh.

5. Đơn vị kiểm soát dữ liệu: Sun PhuQuoc Airways, đơn vị quyết định mục đích và phương thức xử lý dữ liệu cá nhân.

6. Đơn vị xử lý dữ liệu: tổ chức, cá nhân được Công ty ủy quyền xử lý dữ liệu theo hợp đồng.

1. Việc xử lý dữ liệu cá nhân phải tuân thủ nguyên tắc: hợp pháp, minh bạch, chính xác, giới hạn mục đích, bảo mật và lưu trữ trong thời gian cần thiết.

2. Công ty chỉ thu thập và xử lý dữ liệu cá nhân cho các mục đích cụ thể, hợp pháp và được thông báo trước cho khách hàng.

3. Công ty áp dụng các biện pháp kỹ thuật, quản trị và tổ chức để bảo đảm an toàn dữ liệu cá nhân, ngăn ngừa truy cập, tiết lộ, sửa đổi hoặc hủy hoại trái phép.

Công ty xử lý dữ liệu cá nhân của khách hàng trên các căn cứ sau đây:

1. Có sự đồng ý của chủ thể dữ liệu.

2. Thực hiện hợp đồng vận chuyển và dịch vụ hàng không kèm theo.

3. Tuân thủ nghĩa vụ pháp luật, bao gồm quy định về an ninh, hải quan, nhập cảnh, kế toán và thuế.

4. Bảo vệ tính mạng, sức khỏe của hành khách trong trường hợp khẩn cấp.

5. Bảo đảm lợi ích hợp pháp của Công ty hoặc bên thứ ba, phù hợp với quyền và lợi ích hợp pháp của khách hàng.

1. Quản lý đặt chỗ, phát hành vé, làm thủ tục check-in, phục vụ chuyến bay và dịch vụ đặc biệt (suất ăn đặc biệt, hỗ trợ y tế, dịch vụ cho trẻ em, hành khách khuyết tật).

2. Cung cấp, quản lý và nâng cao chất lượng dịch vụ khách hàng.

3. Thực hiện nghĩa vụ pháp luật đối với cơ quan nhà nước có thẩm quyền (an ninh, hải quan, xuất nhập cảnh, phòng chống khủng bố).

4. Quản lý chương trình khách hàng thường xuyên, ưu đãi, khuyến mại.

5. Tiếp thị trực tiếp, nghiên cứu thị trường, khảo sát ý kiến khách hàng (chỉ thực hiện khi có sự đồng ý trước).

Khách hàng có các quyền sau:

1. Quyền được thông tin về hoạt động xử lý dữ liệu cá nhân.

2. Quyền truy cập, yêu cầu cung cấp bản sao dữ liệu cá nhân.

3. Quyền chỉnh sửa, cập nhật dữ liệu không chính xác.

4. Quyền xóa dữ liệu hoặc yêu cầu hạn chế xử lý.

5. Quyền phản đối việc xử lý dữ liệu cho mục đích tiếp thị trực tiếp.

6. Quyền rút lại sự đồng ý đã cung cấp.

7. Quyền khiếu nại tới cơ quan quản lý nhà nước có thẩm quyền.

1. Công ty chỉ xử lý dữ liệu cá nhân của trẻ em dưới 16 tuổi khi có sự đồng ý hợp pháp của cha, mẹ hoặc người giám hộ hợp pháp đi cùng trong cùng một đặt chỗ (booking/PNR).

2. Trường hợp trẻ em đi cùng người lớn nhưng không phải cha, mẹ hoặc người giám hộ hợp pháp, Công ty yêu cầu người đi cùng cam kết rằng họ có đầy đủ thẩm quyền hoặc sự ủy quyền hợp pháp từ cha, mẹ hoặc người giám hộ để cung cấp sự đồng ý đối với việc xử lý dữ liệu của trẻ em.

3. Công ty có quyền từ chối cung cấp dịch vụ hoặc yêu cầu bổ sung hồ sơ, giấy tờ chứng minh sự đồng ý hợp pháp đối với dữ liệu cá nhân của trẻ em, nhằm bảo đảm tuân thủ quy định pháp luật về bảo vệ dữ liệu cá nhân và an toàn hàng không.

4. Cơ chế xác minh sự đồng ý của cha, mẹ hoặc người giám hộ được thực hiện thông qua quá trình đặt chỗ, mua vé, làm thủ tục tại sân bay hoặc các hình thức khác theo quy định pháp luật.

1. Công ty có thể chia sẻ dữ liệu cá nhân với các đối tượng sau, trong phạm vi cần thiết và phù hợp với mục đích xử lý đã thông báo cho khách hàng:

• Hãng hàng không hợp tác trong khuôn khổ liên danh (code-share), liên chuyến (interline) hoặc liên minh.
• Cảng hàng không, cơ quan an ninh, hải quan, xuất nhập cảnh, cảnh sát và cơ quan nhà nước có thẩm quyền theo yêu cầu pháp luật.
• Đại lý bán vé, phòng vé, công ty lữ hành, đối tác phân phối phục vụ đặt chỗ, bán vé và hỗ trợ dịch vụ khách hàng.
• Nhà cung cấp dịch vụ và đối tác thương mại (bao gồm dịch vụ suất ăn, khách sạn, công ty bảo hiểm, công ty cho thuê xe, đơn vị thanh toán điện tử, dịch vụ phòng chờ).
• Các đơn vị thành viên trong Tập đoàn Sun Group nhằm mục đích quản trị hệ thống, phát triển sản phẩm và nâng cao chất lượng dịch vụ.

2. Việc chia sẻ dữ liệu cá nhân được thực hiện trên cơ sở hợp đồng hoặc nghĩa vụ pháp luật, đồng thời bên nhận dữ liệu có trách nhiệm bảo đảm mức độ bảo mật và an toàn dữ liệu tương đương hoặc cao hơn quy định pháp luật Việt Nam và thông lệ quốc tế (GDPR, PIPL).

3. Việc chuyển dữ liệu cá nhân ra nước ngoài phải tuân thủ Điều 25 Nghị định 13/2023/NĐ-CP, bao gồm nghĩa vụ thông báo cho khách hàng, báo cáo cơ quan nhà nước có thẩm quyền và áp dụng biện pháp kỹ thuật, tổ chức để bảo đảm an toàn dữ liệu trong suốt quá trình truyền tải và lưu trữ.

1. Dữ liệu cá nhân của khách hàng được lưu trữ trong thời gian cần thiết để thực hiện mục đích xử lý đã thông báo, phù hợp với nguyên tắc không lưu giữ quá lâu so với nhu cầu thực tế.

2. Thời gian lưu trữ các loại dữ liệu được xác định phù hợp và tuân thủ các quy định của pháp luật Việt Nam và thông lệ quốc tế, bao gồm nhưng không giới hạn Nghị định 13/2023/NĐ-CP, Luật Kế toán, Luật Hàng không dân dụng Việt Nam, cũng như các nguyên tắc về giới hạn lưu giữ dữ liệu của GDPR và PIPL.

3. Khi hết thời hạn lưu trữ hoặc khi khách hàng có yêu cầu xóa dữ liệu hợp pháp, Công ty sẽ tiến hành xóa, hủy hoặc ẩn danh dữ liệu, trừ trường hợp pháp luật có quy định khác.

1. Công ty áp dụng biện pháp mã hóa, ẩn danh hóa, kiểm soát truy cập, tường lửa và lưu vết nhật ký.

2. Thực hiện đánh giá an ninh định kỳ, kiểm tra hệ thống và huấn luyện nhân viên về bảo mật dữ liệu.

3. Bổ nhiệm Cán bộ Bảo vệ dữ liệu cá nhân (DPO) để giám sát việc tuân thủ.

4. Thực hiện Đánh giá tác động xử lý dữ liệu (DPIA) đối với các hoạt động có rủi ro cao (ví dụ: tiếp thị cá nhân hóa, chia sẻ dữ liệu cho đối tác nước ngoài).

1. Khi xảy ra vi phạm dữ liệu cá nhân, Công ty có trách nhiệm thông báo cho chủ thể dữ liệu và cơ quan nhà nước có thẩm quyền trong vòng 72 giờ.

2. Thông báo bao gồm: bản chất vi phạm, dữ liệu bị ảnh hưởng, hậu quả có thể xảy ra và biện pháp khắc phục.

3. Công ty có thể miễn thông báo trực tiếp nếu dữ liệu đã được mã hóa hoặc đã áp dụng biện pháp giảm thiểu rủi ro.

Khách hàng có thể thực hiện quyền liên quan đến dữ liệu cá nhân qua các kênh:

• Email: privacy@sunphuquocairways.com
• Địa chỉ: Tòa nhà Sun Grand City Ancora Residence, 03 Lương Yên, Phường Hai Bà  Trưng, Hà Nội, Việt Nam
• Hotline: 1900 1599

1. Mọi sửa đổi, bổ sung sẽ được thông báo công khai trên website của Công ty ít nhất 15 ngày trước khi có hiệu lực.

2. Lịch sử các phiên bản chính sách được lưu giữ và công khai để bảo đảm minh bạch.